ثغرة أمنية عن بُعد في أجهزة توجيه Wavlink المنزلية تتيح تنفيذ تعليمات برمجية عشوائية وسط تداول برمجيات استغلال

رصد باحثون أمنيون ثغرة أمنية خطيرة عن بُعد في البرمجيات الثابتة (firmware) المشغلة لجهاز التوجيه اللاسلكي Wavlink WL-WN530HG4B، وحملت المعرّف CVE-2026-120197، وتتيح لجهات فاعلة عن بُعد تنفيذ أوامر عشوائية على نظام التشغيل دون الحاجة إلى وصول مادي إلى العتاد المستهدف. وتكمن الثغرة داخل نص برمجي إداري مسؤول عن معالجة إعدادات توجيه الشبكة، ما يعرض البيئات المنزلية والمكاتب الصغيرة للاختراق الآلي والسيطرة الكاملة على الأجهزة. ووفقاً لوثائق تقنية جمعتها خدمة التتبع الأمني vulners.com، فقد جرى تسريب ونشر شفرة استغلال فعالة تستهدف نقطة الضعف في المجال العام، ما يرفع بشكل حاد من مخاطر عمليات المسح العشوائي والاستغلال المسلح من قبل مشغلي الشبكات الخبيثة.

## Key facts

- أُدرجت الثغرة تحت المعرّف CVE-2026-120197 وتستهدف أجهزة التوجيه اللاسلكية المنزلية والمكتبية الصغيرة Wavlink WL-WN530HG4B التي تعمل بإصدار البرمجيات الثابتة MV260724. - تقع الثغرة في ملف واجهة خادم الويب الخاص بجهاز التوجيه /cgi-bin/wapi.cgi ضمن وظيفة تكوين portforward الأساسية. - يؤدي التحقق غير السليم من المعامل "Name" إلى تمكين المهاجم من تنفيذ حقن لأوامر نظام التشغيل عن بُعد. - يمكن تفعيل الثغرة عبر الشبكة دون الحاجة للعبث المادي بالجهاز أو الوصول إلى أدوات تصحيح الأخطاء في العتاد الداخلي. - تم الكشف علناً عن مواد استغلال فعالة، مما يتيح لأطراف ثالثة تكرار تسلسل الهجوم وأتمتته.

## What happened

كشف تحليل تقني نشرته vulners.com أن جوهر المشكلة يعود إلى ثغرة عدم التحقق من المدخلات ضمن الواجهة الخلفية لإدارة الويب في جهاز التوجيه Wavlink WL-WN530HG4B، وتحديداً في نسخة البرمجيات الثابتة MV260724. ومثل العديد من أجهزة الشبكات اللاسلكية منخفضة التكلفة، يعتمد جهاز التوجيه على خادم ويب يشغل بنية Common Gateway Interface (CGI) المدمجة لترجمة تعديلات المستخدم من لوحة تحكم المتصفح إلى تعليمات برمجية تشغيلية على النظام. ويقوم جهاز التوجيه بتوجيه أوامر التكوين عبر نص واجهة برمجي يقع في `/cgi-bin/wapi.cgi`.

ومن خلال هذه الواجهة، يمكن للمسؤولين تعيين قواعد إعادة توجيه المنافذ لتوجيه حركة مرور الإنترنت الواردة نحو نقاط نهاية محددة داخل الشبكة المحلية الداخلية. وعندما يضبط المستخدم هذه القواعد، يقوم البرنامج بتشغيل الإجراء `portforward` ومعالجة سلسلة مدخلات مخصصة للمعامل المسمى `Name`. وبدلاً من تنقية هذه السلسلة النصية أو عزلها عبر فحص دقيق للنوع الأبجدي الرقمي أو استخدام المعاملات الهيكلية، تدمج البرمجيات الثابتة المتغير مباشرة في سلاسل أوامر shell على مستوى النظام والتي ينفذها نظام التشغيل Linux المدمج في جهاز التوجيه.

وعبر حقن فواصل الأوامر القياسية — مثل الفواصل المنقوطة، أو علامات التنصيص المائلة، أو مشغلات الأنابيب العمودية — متبوعة بأوامر Linux shell عشوائية داخل حقل `Name`، يمكن للمهاجم اختطاف سياق تنفيذ تطبيق الويب. ونظراً لأن النص البرمجي الإداري لـ CGI يعمل بامتيازات root العالية على توزيعة busybox أو Linux الأساسية، فإن أي أمر يتم تقديمه ضمن الحمولة الضارة يُنفذ على الفور بسلطة إدارية كاملة على الجهاز.

وتؤكد تفاصيل الإفصاح أن المهاجم لا يحتاج إلى اتصال مادي مباشر بجهاز التوجيه لبدء الاختراق. ونظراً لتوثيق منطق الاستغلال ونشره علناً، فقد تلاشت العقبات التقنية أمام توظيفه، مما سمح لأدوات المسح الشاملة للإنترنت وشبكات الروبوتات المؤتمتة (botnets) بدمج حمولة الحقن في نصوص الاختراق الآلية.

## Why it matters

يمثل اختراق معدات الشبكات الموجودة في مقرات العملاء أحد أخطر النواقل التهديدية في الأمن السيبراني الاستهلاكي. إذ يعمل جهاز التوجيه المحيطي كبوابة مركزية لجميع حركات المرور الداخلية؛ وبمجرد اختراقه، تنهار الحدود الفاصلة بين شبكة خارجية غير موثوقة وعتاد المنازل أو المكاتب الخاصة تماماً. وبالنسبة للمستخدم النهائي، يستطيع المهاجم الذي يعمل بصلاحيات root على جهاز التوجيه مراقبة عمليات نقل البيانات غير المشفرة والتلاعب بها، وتدبير هجمات "الرجل في المنتصف" (man-in-the-middle)، واعتراض حركة مرور الويب الحساسة.

علاوة على ذلك، تتيح السيطرة المعادية على نظام تشغيل جهاز التوجيه للمهاجمين تغيير تكوينات نظام أسماء النطاقات (DNS) الداخلي. ومن خلال الاستبدال السري لعناوين خوادم DNS العودية الشرعية بخوادم تحليل يسيطر عليها المهاجم، يمكن إعادة توجيه المستخدمين الشرعيين الذين يحاولون تصفح مواقع المؤسسات المصرفية أو بوابات تسجيل الدخول للشركات أو مزودي البريد الإلكتروني نحو نسخ تصيد احتيالي مقنعة. ويقوم متصفح المستخدم، بالاعتماد على دقة البوابة المخترقة، بتحميل الموقع الاحتيالي دون إطلاق تحذيرات الشبكة المحلية القياسية، مما يزيد بشكل كبير من معدل نجاح حملات سرقة بيانات الاعتماد.

وعلى نطاق البنية التحتية الأوسع، تُعد أجهزة التوجيه الاستهلاكية التي تعاني من ثغرات حقن الأوامر عن بُعد أهدافاً رئيسية للتجنيد في شبكات الروبوتات الآلية. وقد بنت حملات خبيثة بارزة مثل Mirai وGafgyt وMozi قواعد عملياتها تاريخياً عن طريق مسح فضاءات عناوين Internet Protocol version 4 العامة بحثاً عن ثغرات CGI المعروفة في أجهزة الشبكات المنزلية. وبمجرد استدراج الأجهزة المصابة، يتم تجنيدها في شبكات الهجمات الموزعة لحجب الخدمة (DDoS)، أو استخدامها كبنية تحتية للوكلاء المجهولين (proxy) لصالح عصابات الجريمة السيبرانية، أو استغلالها كنقاط انطلاق خفية لفحص نقاط النهاية الصناعية أو المؤسسية المجاورة. وتواجه الشركات الصغيرة التي تستخدم أجهزة توجيه استهلاكية مخاطر كارثية تتعلق بالتحرك الجانبي داخل الشبكة، حيث يمكن للمهاجم المتمركز على جهاز التوجيه المحيطي اختراق مشاركات ملفات الشبكة الداخلية، ومحطات نقاط البيع، والأنظمة التشغيلية الداخلية بسهولة.

## The background

لأكثر من عقد من الزمان، ظلت أجهزة شبكات المكاتب الصغيرة والمنازل (SOHO) نقطة ضعف هيكلية مستمرة في الدفاع الشبكي العالمي. وتواجه الشركات المصنعة لأجهزة التوجيه الاستهلاكية منخفضة التكلفة ضغوطاً تسويقية متواصلة لتقديم سرعات نقل بيانات عالية بأسعار تجزئة زهيدة، وهو ما يثبط في كثير من الأحيان صيانة البرمجيات طويلة الأجل، والتدقيق الشامل للشفرات البرمجية، وهندسة الأمان القوية. وبدلاً من اعتماد أطر عمل حديثة وآمنة للذاكرة، غالباً ما يلجأ الموردون إلى نشر نوى Linux مدمجة قديمة مقترنة بخوادم ويب خفيفة مثل GoAhead أو Boa أو تطبيقات micro-httpd مخصصة تعتمد اعتماداً كبيراً على ملفات CGI الثنائية غير المحصنة.

وشهدت شركة Wavlink، وهي شركة مصنعة للأجهزة الطرفية والشبكات الاستهلاكية مقرها الصين، تدقيقاً متكرراً لعدة خطوط إنتاج من قبل باحثين أمنيين مستقلين خلال السنوات الأخيرة. وتُفهرس قواعد بيانات الثغرات التاريخية حالات عديدة عانت فيها موسعات النطاق وأجهزة التكرار وأجهزة التوجيه من Wavlink من بيانات اعتماد مشفرة مسبقاً، ونقاط وصول إدارية غير موثقة، وثغرات حقن أوامر أساسية في دلائل `/cgi-bin/`. وتُظهر عيوب التصميم المتكررة هذه استمرار الاعتماد على تقنيات دمج أوامر shell دون تنقية، وهي تقنيات تم التحذير منها على نطاق واسع في معايير هندسة البرمجيات منذ أواخر التسعينيات.

وقد دفع الاكتشاف المتكرر لثغرات الحقن الأساسية في أجهزة التوجيه الاستهلاكية إلى تدخل تنظيمي دولي. ففي الولايات المتحدة، أطلقت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ولجنة الاتصالات الفيدرالية (FCC) مبادرات تعزز معايير التصنيع القائمة على "الأمان بحكم التصميم" (Secure by Design)، للضغط على منتجي الأجهزة للتخلص التدريجي من ثغرات حقن الأوامر المنهجية قبل وصول العتاد إلى منافذ البيع. وفي أوروبا، يفرض قانون الصمود السيبراني (Cyber Resilience Act) التابع للاتحاد الأوروبي التزامات قانونية تلزم موزعي الأجهزة بالحفاظ على برامج منسقة للإفصاح عن الثغرات وإصدار تحديثات أمنية للبرمجيات طوال دورة الحياة التشغيلية المتوقعة للمنتج. ورغم هذه الأطر الناشئة، لا تزال مئات الآلاف من أجهزة التوجيه الاقتصادية التي تعمل حالياً بإصدارات قديمة من البرمجيات الثابتة قيد الاستخدام الفعلي حول العالم، بعيداً عن متناول أنظمة التوزيع الآلي للتحديثات.

## Reaction

فرض النشر العلني للتفاصيل المتعلقة بـ CVE-2026-120197 ضغوطاً فورية على كل من المورد ومجتمع استخبارات التهديدات الأوسع. ووفقاً لتقارير vulners.com، فقد قامت مستودعات الثغرات التقنية ومحللو الثغرات بفهرسة سلسلة الهجوم المحددة، وتمييزها لدمجها العاجل في مصادر الكشف عن التهديدات وتواقيع أنظمة كشف التسلل في المؤسسات.

وتاريخياً، اتسمت الجداول الزمنية لموردي الأجهزة الطرفية المستقلين بعدم الاتساق فيما يتعلق بالإرشادات الأمنية العامة وإصدار تصحيحات البرمجيات الثابتة. وعندما تقترب خطوط العتاد الاقتصادي من نهاية فترة الدعم أو تبلغها، غالباً ما يفشل الموردون في إصدار تحديثات برمجية معالجة، مما يترك العملاء دون خيار رسمي سوى استبدال الجهاز. وعادةً ما تستجيب جهات المراقبة في الصناعة وفرق الاستجابة لطوارئ الحاسوب (CERTs) لتقارير إفصاحات SOHO غير المصححة بتقديم النصح لمشغلي الشبكات بإلغاء تفعيل ميزات الإدارة الخارجية على الفور وعزل العتاد المتأثر خلف جدران حماية ثانوية. ومن المتوقع أن تراقب الهيئات التنظيمية ومزودو خدمات الشبكات خلاصات التهديدات عن كثب لتحديد ما إذا كانت مواد الاستغلال المنشورة ستبدأ في توليد حركة مسح غير طبيعية عبر شبكات الاتصالات الرئيسية.

## What we don't know yet

لا تزال عدة تفاصيل تشغيلية بالغة الأهمية بشأن نطاق التأثير الفعلي لثغرة CVE-2026-120197 غير واضحة في التقارير المتاحة. وفي مقدمة ذلك، ما إذا كانت نقطة النهاية المعرضة للخطر `/cgi-bin/wapi.cgi` قابلة للوصول افتراضياً عبر واجهة الشبكة الواسعة (WAN) الخارجية لجهاز التوجيه، أم أن الاستغلال مقصور حصرياً على الشبكة المحلية (LAN) والاتصالات اللاسلكية المجاورة. فإذا كانت بوابة الإدارة تقبل الاتصالات عبر WAN دون إعادة تكوين صريحة من المستخدم، فقد تكون ملايين عناوين IPv4 العامة عرضة للاستغلال الآلي عن بُعد دون الحاجة لأي تفاعل (zero-click). وعلى العكس من ذلك، إذا كانت الثغرة قابلة للوصول فقط من جهة LAN، فيجب على المهاجم أولاً الحصول على بيانات اعتماد Wi-Fi المحلية، أو استغلال نواقل تزوير الطلبات عبر المواقع (CSRF) عبر متصفح جهاز مصاب، أو إنشاء اتصال شبكي أولي مجاور.

بالإضافة إلى ذلك، لا توضح التقارير ما إذا كانت Wavlink قد أُخطرت رسمياً قبل نشر شفرة الاستغلال، كما لم يتم تأكيد تاريخ رسمي لإصدار تصحيح للبرمجيات الثابتة الخاصة بالإصدار MV260724. علاوة على ذلك، لم تحدد تقارير مراقبة التهديدات بعد العدد الدقيق للأجهزة النشطة المكشوفة حالياً على محركات البحث العامة عبر الإنترنت مثل Shodan أو Censys، مما يترك البصمة الحقيقية للتعرض العالمي غير مؤكدة.

## What to watch

خلال الأسابيع المقبلة، يتعين على مسؤولي الشبكات ومحللي الأمن مراقبة عدة محطات رئيسية لتقييم مسار التهديد الناتج عن هذا الإفصاح. وسيكون التطور الأساسي الواجب تتبعه هو ما إذا كانت Wavlink ستصدر نشرة أمنية رسمية أو حزمة برمجيات ثابتة محدثة تحل محل الإصدار MV260724 لمعالجة إجراء تحليل الأوامر داخل `wapi.cgi`. ويجب على المستخدمين تفقد بوابات الدعم الرسمية للمورد دورياً للتحقق من صدور تحديثات صيانة البرمجيات.

وبالتزامن مع ذلك، سيراقب باحثو التهديدات ومشغلو مصائد الاختراق (honeypots) بيانات القياس عن بُعد لرصد مؤشرات الاستغلال الآلي. فعندما تُطرح أدوات الاستغلال الفعالة للتداول العام، لا يحتاج مشغلو شبكات الروبوتات عادة سوى لأيام أو ساعات لدمج الحمولات في جولات المسح الروتينية. وستشكل تحديثات بيانات القياس الصادرة عن وكالات الأمن السيبراني الوطنية، مثل كتالوج الثغرات المستغلة المعروفة التابع لـ CISA، مؤشراً موثوقاً لمعرفة ما إذا كانت ثغرة CVE-2026-120197 تنتقل فعلياً إلى الاستغلال النشط في الواقع العملي. وإلى أن يتم التحقق من التحديثات الرسمية، يتعين على مالكي جهاز التوجيه WL-WN530HG4B التأكد من تعطيل الوصول إلى الإدارة عن بُعد عبر الإنترنت تماماً، واستبدال الجهاز إذا لم تتوفر تحديثات برمجية من المورد.

تتضمن هذه التغطية بيانات أولية عن الثغرات الأمنية ومتابعة تقنية منشورة بواسطة vulners.com.