خلل في بنية Android يعرض الهواتف الذكية لحلقات انهيار مستمرة عبر تثبيت التطبيقات

تتيح ثغرة أمنية وُثقت حديثاً في نظام تشغيل الهواتف المحمولة Android للتطبيقات الخبيثة إجبار الهواتف الذكية المتضررة على الدخول في حلقات انهيار لا يمكن إصلاحها بمجرد التثبيت والتشغيل، مما يؤدي فعلياً إلى تعطيل الأجهزة عن العمل. ويتجاوز هذا الخلل، الذي فُصّل في تقرير تقني نشره الباحث Karandeep Singh Oberoi في نوفمبر 2026، مطالبات الأذونات التقليدية وحمايات البيئة المعزولة (sandbox) ليتسبب في انهيار متكرر لعمليات النظام الأساسية. ومن خلال استهداف برمجيات الخدمات الخلفية (daemons) الأساسية لنظام التشغيل بدلاً من السعي إلى تسريب البيانات خلسة، يعمل الاستغلال بالدرجة الأولى كهجوم حجب خدمة دائم أو شبه دائم ضد عتاد المستخدم النهائي، مما يترك المستهلكين المتضررين أمام خيارات تعافٍ محدودة تقتصر على إعادة ضبط كاملة للجهاز أو إعادة تثبيت البرمجيات الثابتة (firmware).

## حقائق رئيسية

- تعمل الثغرة الأمنية ضمن إطار عمل تطبيقات Android القياسي، مما يتيح لتطبيق غير متميز التسبب في حالة عدم استقرار على مستوى النظام دون طلب صلاحيات إدارية أو صلاحيات root مميزة. - يؤدي تشغيل هذا الاستغلال إلى بدء دورة مستمرة من انهيارات النظام، تُعرف في قطاع التقنية باسم حلقة الإقلاع (bootloop) أو حلقة وقت التشغيل القاتلة، والتي تمنع واجهة نظام التشغيل من التحميل بنجاح. - قد تصبح آليات التعافي القياسية للمستهلكين، مثل الإقلاع في الوضع الآمن (safe mode)، غير قابلة للوصول إذا قاطعت حلقة الانهيار خادم النظام الأساسي قبل تسجيل تسلسلات مدخلات التشخيص. - تتطلب معالجة الأجهزة المصابة التي لا تستطيع الحفاظ على واجهة مستخدم نشطة عادةً إجراء إعادة ضبط مصنع إتلافية عبر قسم استرداد العتاد، مما يؤدي إلى فقدان البيانات غير المنسوخة احتياطياً. - تستغل الآلية الطريقة التي تتعامل بها مكونات إطار عمل Android الأساسية مع استثناءات وقت التشغيل غير المعالجة واستدعاءات الاتصال بين العمليات (IPC) المستمرة عبر حدود النظام.

## ما حدث

وفقاً لتقرير أعده Karandeep Singh Oberoi، حدد باحثون أمنيون آلية داخل Android يمكن لحزمة مثبتة من خلالها إدخال اختلالات هيكلية تتسبب في انهيارات متكررة وغير قابلة للإصلاح داخل برمجيات النظام التأسيسية. وبدلاً من تنفيذ استغلال تقليدي لتصعيد الامتيازات مصمم لسحب البيانات الشخصية، أو التنصت على الاتصالات، أو ترسيخ التواجد لأغراض المراقبة، يستهدف الكود البرمجي الاستقرار التشغيلي للجهاز نفسه.

في ظل ظروف التشغيل العادية، يعزل إطار عمل Android تطبيقات المستهلكين داخل معرفات مستخدمين متميزة باستخدام نموذج التحكم في الوصول التقديري المستند إلى Linux. ولا يمكن لتطبيق يعمل في مساحة المستخدم (user space) إنهاء خدمات نظام التشغيل الأساسية مباشرة، مثل خادم النظام أو مؤلف العرض SurfaceFlinger. ومع ذلك، عندما يتفاعل تطبيق مع سجلات النظام المشتركة أو مديري الحزم أو خدمات إطار العمل باستخدام معلمات مشوهة، يمكن أن يتسبب في استثناء غير معالج في وقت التشغيل داخل العملية التي تستضيف الخدمة.

في سيناريو الهجوم الذي وثقه Oberoi، يستغل التطبيق الخبيث هذه الواجهة. وبمجرد تشغيله — أو في بعض التكوينات، بمجرد تسجيله في بنية حزم النظام — يتسبب البرنامج في فشل مستمر داخل برنامج خدمة خلفية (daemon) حيوي في النظام. ونظراً لأن بيئة تشغيل Android مهيأة لإعادة تشغيل خدمات النظام التي تفشل بشكل غير متوقع، يحاول نظام التشغيل إجراء إعادة تشغيل تلقائية أو إعادة تشغيل النظام الفرعي لاستعادة الاستقرار. وعند إعادة التشغيل، يحاول نظام التشغيل إعادة تهيئة المكونات المسجلة للتطبيق الخبيث أو معالجة حالته العالقة، مما يؤدي إلى إطلاق الاستثناء القاتل مرة أخرى. ويؤدي ذلك إلى إنشاء حلقة مفرغة من الانهيارات تمنع الهاتف من إكمال تسلسل بدء التشغيل أو عرض شاشة رئيسية صالحة للاستخدام للمستخدم.

## أهمية الحدث

تمثل ثغرات حجب الخدمة في أنظمة تشغيل الأجهزة المحمولة خطراً تشغيلياً فريداً، نظراً لأن الأجهزة المحمولة تعمل كمراكز رئيسية للمصادقة، وأدوات للملاحة، وخطوط اتصال حيوية للطوارئ لمليارات الأشخاص حول العالم. وعندما يجعل استغلال أمني الهاتف المحمول غير مستجيب بشكل دائم، يكون الضرر فورياً وملموساً، متجاوزاً الانتهاكات التقليدية للخصوصية.

بالنسبة لبيئات المؤسسات، يفرض ظهور استغلال للتسبب في الانهيار دون الحاجة لأذونات اضطراباً لوجستياً حاداً. وتنشر المؤسسات الحديثة آلاف النقاط الطرفية المحمولة التي تُدار عبر أنظمة إدارة التنقل في المؤسسات (EMM). وقد يؤدي هجوم واسع النطاق يستغل حلقة إقلاع ناجمة عن تطبيق إلى خروج قطاعات واسعة من عتاد الشركات عن الخدمة في وقت واحد. ونظراً لعدم قدرة الأجهزة على البقاء متصلة بالشبكات الخلوية أو شبكات Wi-Fi أثناء دورة إعادة التشغيل المستمرة، لا يمكن للمسؤولين إرسال أوامر الإزالة عبر الهواء، مما يعطل إمكانات المسح عن بُعد أو المعالجة عن بُعد. وسيُجبر موظفو تكنولوجيا المعلومات على استعادة الأجهزة فعلياً وإجراء عمليات استعادة يدوية للنظام عبر واجهات محمل الإقلاع (bootloader) أو fastboot.

أما بالنسبة لعموم المستهلكين، فإن العواقب وخيمة بالقدر نفسه. إذ لا يقوم معظم مالكي الهواتف الذكية غير المتخصصين تقنياً بتهيئة نسخ احتياطية سحابية آلية بانتظام للوسائط المخزنة محلياً، أو المفاتيح التشفيرية، أو رموز المصادقة الثنائية، أو قواعد بيانات المحادثات غير المصدرة. وإذا كان مسار المعالجة الوحيد القابل للتطبيق يتطلب الدخول إلى بيئة الاسترداد الافتراضية للجهاز لبدء مسح قسم البيانات، فإن المستخدمين يواجهون فقداناً لا رجعة فيه لبياناتهم الشخصية. علاوة على ذلك، فإن الأثر النفسي المترتب على تحول أجهزة المستهلكين إلى أدوات عديمة الفائدة جراء تثبيت تطبيق عادي يقوض الثقة العامة في المنظومة البرمجية، مما يثير تساؤلات حول مدى كفاية آليات التدقيق الآلي للأكواد البرمجية على منصات التوزيع الرئيسية.

## الخلفية

صُممت بنية Android الأساسية منذ نشأتها حول مفهوم البيئة المعزولة (sandboxing)، الذي يفصل بين عمليات التطبيقات وبعضها البعض وبينها وبين نظام التشغيل الأساسي. وتاريخياً، تعاملت الحدود الأمنية لنظام Android مع انهيارات التطبيقات كأحداث معزولة: إذا واجه برنامج تابع لجهة خارجية استثناءً غير معالج، فإن بيئة تشغيل Android تنهي تلك العملية المحددة، وتعرض إشعاراً يفيد بتوقف التطبيق، بينما يستمر نظام التشغيل الأساسي في العمل بشكل طبيعي.

ومع ذلك، فعلى مدى العقد الماضي، اخترقت ثغرات حجب الخدمة المنهجية هذا الحاجز في بعض الأحيان. ففي عام 2015، كشف باحثون عن عدة ثغرات في محرك معالجة الوسائط Stagefright في Android، مما أتاح لملفات وسائط متعددة معدة بخبث التسبب في انهيار خادم الوسائط أو تنفيذ تعليمات برمجية عشوائية. وأظهرت ثغرات لاحقة في خادم نظام Android والبنية التحتية لإدارة الحزم أن الاستثناءات في الحالات الحدية داخل الخدمات المتميزة يمكن أن تُسقط عملية zygote بأكملها، وهي العملية الأساسية التي تُولد منها جميع تطبيقات وخدمات Android. وعندما تنهار عملية zygote، يُجبر نظام Android بنيوياً على إعادة تشغيل بيئة مساحة المستخدم.

وللتخفيف من هذه التهديدات المنهجية، قدمت Google آليات تضمنت حماية الرجوع إلى إصدار أقدم (Rollback Protection)، وإطار عمل Rescue Party الذي قُدم في نظام Android 8.0، والوضع الآمن (Safe Mode). وصُمم Rescue Party خصيصاً لاكتشاف حلقات الانهيار المتكررة؛ فإذا انهارت عمليات النظام الأساسية أكثر من خمس مرات خلال فترة زمنية مدتها 30 ثانية، أو إذا فشلت خدمة نظام مستمرة بشكل متكرر أثناء الإقلاع، صُمم Rescue Party للتدخل تدريجياً — بدءاً من مسح ذاكرات التخزين المؤقت المؤقتة للتطبيقات، ثم إعادة تعيين إعدادات الحزم، وصولاً إلى عرض خيار إقلاع الجهاز في قائمة الاسترداد حيث يمكن بدء تشغيل الوضع الآمن أو إعادة ضبط المصنع. ومع ذلك، إذا تسببت الثغرة الأمنية في حدوث ذعر فوري للنواة (kernel panic) أو أدت إلى إنهاء خادم النظام الأساسي قبل أن تتمكن قياسات Rescue Party عن بُعد من تسجيل عدادات الانهيار، فقد تفشل شبكات الأمان الآلية هذه في التنشيط.

إضافة إلى ذلك، يخلق نموذج توزيع الهواتف المحمولة تحديات مستمرة لعمليات المعالجة. فبينما تقدم Google نشرات أمنية شهرية تغطي كود Android المفتوح المصدر وعتاد Pixel، يتعين على الشركات المصنعة للمعدات الأصلية (OEMs) التابعة لجهات خارجية — بما في ذلك Samsung وXiaomi وMotorola والشركات المصنعة الإقليمية — دمج واختبار وتوزيع تحديثات البرمجيات الثابتة الخاصة بواجهاتها وتكوينات عتادها المخصصة. وغالباً ما يترك هذا التجزؤ في التحديثات ملايين الأجهزة النشطة عرضة للثغرات الأمنية المكشوفة علناً لعدة أشهر بعد كتابة الإصلاح الرسمي الأولي.

## ردود الفعل

عادةً ما يطلق الكشف العلني عن آلية حلقة الانهيار غير المعالجة تسلسلاً متوقعاً من الاستجابات المؤسسية عبر المشهد الأمني للأجهزة المحمولة. ومن المتوقع أن يحشد مطورو البرمجيات ومصنعو الأجهزة ومشغلو المستودعات تدابير دفاعية مضادة عبر طبقات متعددة من المنظومة البيئية.

وعادةً ما يراجع فريق أمان Android ومهندسو المنصة في Google نموذج إثبات المفهوم التقني لتحديد استدعاء واجهة برمجة التطبيقات (API) الدقيق، أو خطأ تسلسل الحزم (parcel serialization)، أو تعطل اتصال binder الذي يسهل الانهيار. وفي حوادث مماثلة سابقة، نشرت Google خوارزميات فحص تجريبية من جانب الخادم في Google Play Protect، وهي خدمة الكشف عن البرمجيات الخبيثة المدمجة التي تعمل على أجهزة Android المعتمدة. وتعمل Play Protect ديناميكياً لتحديد وحظر تثبيت الحزم التي تطابق تواقيع تحفيز الانهيار الخبيثة، حتى قبل توزيع تصحيح رسمي لنظام التشغيل على عتاد المستخدم النهائي.

ويراقب المطورون التابعون لجهات خارجية ومشرفو متاجر التطبيقات وشركات الأمن المستقلة هذه التطورات عن كثب لتحديد ما إذا كان كود الاستغلال يجري توظيفه كسلاح في حملات توزيع نشطة. ورغم أن التقرير الأساسي الذي أعده Karandeep Singh Oberoi يسلط الضوء تقنياً على الثغرة الأساسية، إلا أن البيانات الرسمية أو التخصيصات الرسمية لمعرف الثغرات والتعرضات الشائعة (CVE) من قاعدة بيانات الثغرات الوطنية (NVD) لم تصدر رسمياً بعد في نشرات أمان الموردين العامة.

## ما لا نعرفه بعد

لا تزال التفاصيل التقنية واللوجستية الحاسمة المتعلقة بنطاق الاستغلال غير مؤكدة. ولا يحدد التقرير الأساسي إصدارات نظام التشغيل Android الصريحة المعرضة للخطر، مما يترك الباب مفتوحاً أمام تساؤل ما إذا كانت الإصدارات الحديثة مثل Android 14 أو 15 أو المنصات الأقدم هي المعرضة للخطر بشكل أساسي. وغالباً ما تؤدي تعديلات نظام التشغيل التي تدخلها الشركات المصنعة المختلفة للعتاد إلى تغيير سلوك خدمات إطار العمل الأساسية، ومن غير المعروف حالياً ما إذا كانت واجهات الشركات المصنعة المخصصة مثل One UI أو HyperOS عرضة للخطر بالقدر نفسه أو تحتوي على ضمانات خاصة تقطع سلسلة الاستغلال.

علاوة على ذلك، لم يُحدد بعد المسار الدقيق الذي ينفذ من خلاله الاستغلال بالكامل. وما زال غير مؤكد ما إذا كان الانهيار يبدأ تلقائياً أثناء مرحلة التحقق من الحزمة في الخلفية فور التثبيت مباشرة، أو ما إذا كان يجب على المستخدم فتح التطبيق فعلياً مرة واحدة على الأقل لإطلاق الاستثناء القاتل. وأخيراً، لا توجد بيانات عامة تشير إلى ما إذا كانت الجهات الفاعلة الخبيثة قد بدأت في تضمين هذا الاستغلال داخل تطبيقات ملغمة بأحصنة طروادة ومستضافة في أسواق التطبيقات الثانوية، أو مستودعات التحميل المباشر لملفات APK، أو قنوات التوزيع الرسمية.

## ما يجب مراقبته

في الأسابيع المقبلة، سيركز الاهتمام على نشرة أمان Android القادمة من Google، والتي تُنشر في أول يوم إثنين من كل شهر تقويمي. وسيتابع المراقبون لمعرفة ما إذا كان سيظهر تصحيح مخصص يعالج ثغرة أمنية شديدة الخطورة لحجب الخدمة في إطار عمل Android أو مكون النظام، مصحوباً بمعرف CVE مخصص ومستودعات كود مصدري محدثة لمشروع أندرويد مفتوح المصدر (AOSP).

كما سيراقب محللو الأمن تحديثات القياس عن بُعد الصادرة عن منصات استخبارات التهديدات المحمولة لتحديد ما إذا كانت حزم الاستغلال ستدمج هذه التقنية للابتزاز أو التخريب. وإذا ظهرت حملات خبيثة، فإن إرشادات المستهلكين ستعتمد على ما إذا كان يمكن استعادة الأجهزة بأمان باستخدام مجموعات أزرار العتاد للدخول في وضع الأمان في Android — الذي يعطل تنفيذ تطبيقات الجهات الخارجية عند الإقلاع — أو ما إذا كانت الثغرة تعطل تهيئة الوضع الآمن بشكل منهجي، مما يستلزم إعادة ضبط مصنع إلزامية.

بالإضافة إلى ذلك، ستشير تقارير القياس عن بُعد الصادرة عن منصات تحليلات الأجهزة المحمولة المستقلة إلى ما إذا كانت كبرى الشركات المصنعة للمعدات الأصلية ستبدأ في تسريع تصحيحات البرمجيات الثابتة اللاحقة لحماية قواعد مستخدميها من آلية الانهيار المبلغ عنها.

يتضمن هذا المقال تقارير مستمدة من تغطية أعدها Karandeep Singh Oberoi.