إفصاحات أمنية تكشف عن ثغرات متعددة في برمجيات عيادات مفتوحة المصدر

كشف مراقبون مستقلون للأمن السيبراني عن مجموعة من الثغرات الأمنية التي تؤثر على منصة مفتوحة المصدر للإدارة السريرية، محذرين من أن نقاط الضعف في إجراءات تسجيل المستخدمين وحجز المواعيد قد تعرض مسارات العمل الطبية الحساسة للتلاعب غير المصرح به واعتراض البيانات. وفهرست التحذيرات الثلاثة، التي نشرتها منصة استخبارات الثغرات الأمنية VulDB في 22 أكتوبر 2026، عيوباً هيكلية متباينة داخل قاعدة التعليمات البرمجية لمستودع "online-clinic-management-system" الذي طوره المبرمج subhajitkhan. وتشمل هذه النتائج، التي تؤثر على جميع مراجعات البرمجية حتى إصدار الإيداع e9ee77a8827a1446220fa07ee693dc4d9a29a578، التحقق غير السليم من المدخلات، ومسارات عمل سلوكية معيبة في إدارة المواعيد، وغياب الحماية التشفيرية أثناء إدخال سجلات المرضى.

## Key facts

- أصدرت خدمة استخبارات الأمن السيبراني VulDB ثلاثة سجلات ثغرات في 22 أكتوبر 2026، وصنفتها تحت المعرفات CVE-2026-115247 وCVE-2026-115248 وCVE-2026-115249. - تؤثر المشكلات الأمنية على مشروع البرمجيات مفتوحة المصدر المعروف باسم online-clinic-management-system، الذي يديره المطور subhajitkhan، عبر جميع الإصدارات حتى إيداع الشيفرة البرمجية e9ee77a8827a1446220fa07ee693dc4d9a29a578. - تحدد الثغرة الأمنية CVE-2026-115247 غياب آليات التشفير داخل نص إدخال البيانات البرمجي patientregistration.php. - تحدد الثغرة الأمنية CVE-2026-115248 عيباً في مسار العمل السلوكي داخل مكون الجدولة patappointtime.php. - تحدد الثغرة الأمنية CVE-2026-115249 عدم كفاية التحقق من صحة المدخلات داخل مكون إدارة المواعيد نفسه، patappointtime.php. - أوصى محللو الأمن المسؤولين والمطورين بنشر تصحيح أمني لمعالجة مخاطر الاستغلال عبر عمليات التثبيت المعرضة للخطر.

## What happened

في سلسلة من الإفصاحات التقنية المنشورة بالتتابع صباح يوم 22 أكتوبر 2026، سجلت قاعدة بيانات الأمن السيبراني VulDB ثلاثة معرفات مختلفة للثغرات والتعرضات الشائعة (CVE) استهدفت مكونات ويب لنظام online-clinic-management-system للمطور subhajitkhan، وهو تطبيق مصمم لأتمتة إجراءات المرضى، والحجز، وإدخال البيانات الإدارية في الممارسات الصحية.

وحدد التحذير الأول، المنشور في تمام الساعة 08:31:36 بتوقيت UTC والمفهرس تحت الرقم CVE-2026-115247، عجزاً تشفيرياً خطيراً في ملف patientregistration.php، وهو النص البرمجي المسؤول عن قبول ملفات تعريف المستخدمين الأولية وتخزينها. ووفقاً لتقارير صادرة عن VulDB، تفشل نقطة النهاية في تطبيق ضوابط التشفير اللازمة، وهي فجوة هيكلية تتيح عادةً لحمولات التسجيل—مثل الأسماء الكاملة، وتفاصيل الاتصال السكنية، وبيانات الهوية، والشكاوى الطبية الأولية—الانتقال عبر الشبكات أو البقاء في قواعد البيانات الخلفية دون حماية تشفيرية.

وبعد ست ثوانٍ، وتحديداً في الساعة 08:31:42 بتوقيت UTC، نشرت VulDB تفاصيل تتعلق بالثغرة CVE-2026-115248، متمحورة حول خلل في مسار العمل السلوكي داخل patappointtime.php. وفي بنية تطبيقات الويب، تحدث عيوب مسار العمل السلوكي عندما يفشل التطبيق في فرض التسلسل الصحيح للحالات الوظيفية. وفي سياق حجز المواعيد، غالباً ما تسمح مثل هذه الإخفاقات لمستخدم غير مصادق عليه أو ذي صلاحيات منخفضة بتجاوز عمليات التحقق المسبقة، أو حجز مواعيد خارج التسلسل المعتمد، أو تعديل الأوقات المحددة دون موافقة العيادة، أو الكتابة فوق جداول مواعيد مرضى آخرين.

وأخيراً، في تمام الساعة 08:31:46 بتوقيت UTC، وثق إدخال ثالث مسجل تحت المعرف CVE-2026-115249 ثغرة أمنية في التحقق من صحة المدخلات داخل نص المواعيد ذاته، patappointtime.php، وفقاً لما أوردته VulDB. وعادة ما تعرض أوجه القصور في تنقية المدخلات معالجات الويب للتلاعب بالمعلمات، أو البرمجة النصية عبر المواقع، أو حقن الاستعلامات البنيوية، اعتماداً على كيفية معالجة متغيرات التقويم والطابع الزمني المدخلة بواسطة محرك قاعدة البيانات الأساسي. وتم التأكد من بقاء جميع الثغرات الثلاث حتى إيداع Git رقم e9ee77a8827a1446220fa07ee693dc4d9a29a578.

## Why it matters

تمثل بيئات برمجيات الرعاية الصحية أحد أكثر قطاعات البنية التحتية الرقمية العالمية تنظيماً وامتثالاً للقوانين الصارمة، لكنها تظل في الوقت نفسه من أكثرها استهدافاً. وحتى النصوص البرمجية الخفيفة أو المصممة خصيصاً للإدارة السريرية—التي غالباً ما تعتمدها العيادات الخاصة الصغيرة، أو مراكز الرعاية الصحية المجتمعية، أو العيادات الإقليمية لتفادي التكاليف المتكررة لحزم السجلات الطبية الإلكترونية (EMR) التجارية القائمة على البرمجيات كخدمة—تنطوي على مخاطر جسيمة عندما تتعطل الضوابط الأمنية.

ويشكل الجمع بين قنوات التسجيل غير المشفرة وإجراءات إدارة المواعيد المعيبة مخاطر ملموسة على سرية بيانات المرضى والسلامة التشغيلية. ففي النطاقات القضائية الخاضعة لأطر خصوصية قانونية صارمة، بما في ذلك قانون التأمين الصحي وقابلية النقل والمساءلة الأمريكي (HIPAA) واللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، يعد نقل معلومات الرعاية الصحية المحددة للهوية الشخصية أو أرشفتها بتنسيقات غير مشفرة انتهاكاً للمطابقة يستوجب اتخاذ إجراءات قانونية. وقد تصل الغرامات التنظيمية بموجب HIPAA إلى مئات الآلاف من الدولارات عن كل واقعة عند تجاهل الضمانات الفنية الأساسية، مثل معايير التشفير التي يفرضها المعهد الوطني للمعايير والتقنية (NIST).

وإلى جانب العقوبات القانونية، يتسبب تجاوز مسار العمل السلوكي والإخفاق في التحقق من المدخلات في أنظمة العيادات في حدوث اضطرابات تشغيلية ملموسة. فإذا تمكنت جهات فاعلة خبيثة أو مستخدمون غير مصرح لهم من التلاعب بمنطق الجدولة عبر نصوص برمجية مثل patappointtime.php، يمكن للمهاجمين تدبير حالات حجب الخدمة عبر استنفاد المواعيد المتاحة، أو إلغاء مواعيد المرضى المشروعة، أو الوصول إلى جداول المواعيد السرية. وبالنسبة للمرضى الذين يحتاجون إلى علاج طارئ أو إدارة أمراض مزمنة، فإن التلاعب الإداري يهدد استمرارية الرعاية السريرية بشكل مباشر.

## The background

عكس ظهور أدوات الإدارة السريرية المستندة إلى الويب على مدى العقدين الماضيين تحولات مؤسسية أوسع نطاقاً نحو حوسبة الإدارة الطبية. وتلجأ الممارسات الطبية الصغيرة والمؤسسات التعليمية بانتظام إلى البرمجيات مفتوحة المصدر الموزعة عبر مستودعات مثل GitHub لدراسة أو تخصيص أو استضافة أنظمة مواعيد العيادات الخارجية. وفي حين تحافظ الشركات التجارية المزودة لأنظمة EMR مثل Epic Systems وOracle Health وAthenahealth على فرق مخصصة لأمن التطبيقات وإجراء اختبارات الاختراق المستمرة، تعتمد المستودعات المستقلة مفتوحة المصدر غالباً على مطورين فرديين أو متطوعين غير رسميين قد يفتقرون إلى أدوات الأمان المتخصصة.

وعادة ما تتماشى الثغرات في واجهات الجدولة المستندة إلى الويب مع الفئات القياسية الموثقة بواسطة مستودع حصر نقاط الضعف الشائعة (CWE) الذي تديره مؤسسة MITRE Corporation. وتتوافق أوجه القصور المطابقة للثغرة CVE-2026-115249 مع CWE-20 (Improper Input Validation)، وهو مصدر دائم لعيوب تطبيقات الويب الخطيرة التي تتيح لمهاجمين تقديم بيانات مشوهة أو غير متوقعة للمترجمات الخلفية. وبالمثل، تتوافق نقاط الضعف في مسار العمل مثل CVE-2026-115248 مع CWE-840 (Business Logic Errors)، حيث يسمح منطق الشيفرة البرمجية بعمليات تنتهك قواعد مجال العمل حتى وإن بدت معلمات البيانات الفردية سليمة وصالحة.

ويمثل الإهمال التشفيري، الموثق في CVE-2026-115247، الفئة CWE-311 (Missing Encryption of Sensitive Data). وتتطلب معايير الصناعة، بما في ذلك معيار أمان بيانات بطاقات الدفع (PCI DSS) والقواعد الفيدرالية للرعاية الصحية، استخدام بروتوكول أمان طبقة النقل (TLS 1.2 أو 1.3) عبر جميع مسارات نقل سجلات الهوية والبيانات الصحية، مقترناً بخوارزميات تشفير قوية مثل AES-256 للبيانات المخزنة. وعندما تعتمد تطبيقات الويب الإدارية المخصصة على نصوص PHP البرمجية المباشرة دون فرض عمليات إعادة توجيه HTTPS، أو علامات جلسات آمنة، أو التجزئة والتمليح على مستوى قاعدة البيانات، تظل بيانات المرضى غير محمية ضد الاعتراض السهل، والتنصت على الشبكة المحلية، والتفتيش غير المصرح به من جانب الخادم.

## Reaction

لم يصدر مطور المشروع، subhajitkhan، ولا المساهمون التابعون له أي تعليق علني أو إشعار إصدار عبر مستودعات الشيفرات البرمجية الرسمية بشأن هذه النتائج. وفي تحذيراتها، نصحت VulDB مسؤولي النظم صراحةً بتطبيق تصحيحات علاجية عبر عمليات التثبيت المتأثرة لتحييد مسارات الاستغلال المحتملة.

ونظراً لأن البرمجية تُدار كأصل مفتوح المصدر، فإن الردود القانونية الرسمية أو جلسات الاستماع التنظيمية من السلطات الصحية الحكومية ليست مقررة ولا معتادة بالنسبة للمستودعات التابعة للهواة أو المتخصصة. وبدلاً من ذلك، تملي البروتوكولات التقنية المعتادة في هذا المجال على مسؤولي النظم ومشغلي استضافة الويب والممارسين المستقلين الذين يشغلون البرنامج تدقيق إعدادات خوادمهم يدوياً. وغالباً ما تنتظر منتديات الاستجابة الأمنية ومجمعات الثغرات الأمنية قيام مسؤولي المشروع بنشر شجرة إيداعات معدلة أو تحذيرات أمنية قبل تحديد ما إذا كانت هناك سلسلة استغلال نشطة قيد الاستخدام الفعلي.

## What we don't know yet

لا تزال العديد من الحقائق التشغيلية الجوهرية غير مؤكدة عقب إفصاحات قاعدة البيانات الأولية. إذ لا يوضح تقرير VulDB ما إذا كان قد جرى اكتشاف هذه الثغرات كجزء من تدقيق أمني أكاديمي، أو اختبار أمني آلي ثابت للتطبيقات (SAST)، أو تمرين اختبار اختراق نشط. ونتيجة لذلك، يفتقر السجل العام إلى مقاييس أساسية محددة لنظام تقييم الثغرات الشائعة (CVSS)، مما يترك تعقيد الهجوم التقني، والامتيازات المطلوبة، ومقاييس قابلية الاستغلال غير محددة.

علاوة على ذلك، لا يُعرف حالياً عدد خوادم الويب النشطة أو مقدمي الرعاية الصحية من القطاع الخاص، إن وجدوا، الذين يستضيفون عمليات نشر نشطة لمستودع subhajitkhan حتى الإيداع e9ee77a8827a1446220fa07ee693dc4d9a29a578. كما لم يتم التحقق بعد من مدى تعرض سجلات المرضى في العالم الحقيقي أو ما إذا كان أي من المهاجمين قد استغل هذه الثغرات في عمليات اختراق غير مصرح بها. ولا يزال من غير الواضح أيضاً ما إذا كان القائم على صيانة المستودع يعتزم إصدار تصحيح رسمي للشيفرة المصدرية الأساسية أم أنه يتعين على كل جهة قامت بالنشر كتابة منطق علاجي مخصص بنفسها.

## What to watch

ستحدد محطات رئيسية خلال الأسابيع المقبلة ما إذا كانت هذه الثغرات تشكل خطراً مستمراً على أنظمة الإنتاج. ويجب على المراقبين ومسؤولي النظم مراقبة المستودع المصدري المرتبط بالمطور subhajitkhan للتحقق من وجود إيداعات مراجعة جديدة بعد الرمز e9ee77a8827a1446220fa07ee693dc4d9a29a578 تعالج الفجوات التشفيرية وفجوات التحقق ومسار العمل.

بالإضافة إلى ذلك، ينبغي للمحللين التقنيين متابعة قاعدة البيانات الوطنية للثغرات الأمنية (NVD) التي يديرها المعهد الوطني للمعايير والتقنية بالولايات المتحدة، حيث يُتوقع تصنيف درجات خطورة CVSS الرسمية وتعيينات مطابقة CWE المفصلة. وفي حال نشر باحثون أمنيون مستقلون نصوصاً برمجية لإثبات المفهوم لاستغلال patappointtime.php أو patientregistration.php، فستزداد بشكل كبير الحاجة الملحة لتصفية جدار الحماية المحيطي وإيقاف تشغيل الخوادم الفوري للنسخ غير المصححة.

يستند هذا التقرير إلى إفصاحات تقنية عن الثغرات وتحذيرات أمنية نشرتها قاعدة بيانات استخبارات الأمن السيبراني VulDB.