ثغرة Adobe Acrobat Extension: استغلال صامت لبيانات واتساب

مقدمة تحليلية

في 22 يوليو 2026، كشفت Guardio Labs عن تفاصيل سلسلة ثغرات أمنية حرجة، أطلقت عليها اسم HermeticReader، ضمن إضافة Adobe Acrobat لمتصفح Chrome. سمحت هذه الثغرة، المصنفة رسمياً تحت CVE-2026-48294 وتقييم CVSS يبلغ 7.4 (خطورة عالية)، لمواقع ويب خبيثة بقراءة بيانات حساسة من WhatsApp Web بشكل صامت وغير مرئي. تستهدف هذه الإضافة، التي تحمل المعرف efaidnbmnnnibpcajpcglclefindmkaj، قاعدة مستخدمين ضخمة تتجاوز 314 مليون فرد حول العالم. أثر الخلل على جميع إصدارات الإضافة حتى الإصدار 26.5.2.2 وما قبله، وقد تم تصحيحه لاحقاً بواسطة Adobe ضمن تحديثاتها الأمنية. تمثل HermeticReader حالة نموذجية لضعف الكشف عن البيانات عبر الأصول (cross-origin data disclosure vulnerability) من فئة Universal Cross-Site Scripting (UXSS)، وتستغل نقاط ضعف معمارية جوهرية تتطلب تفاعلاً بسيطاً من المستخدم لتبدأ سلسلتها المدمرة. هذه الحادثة تسلط الضوء على المخاطر الكامنة في الامتدادات البرمجية واسعة الانتشار والتي تحظى بثقة المستخدمين.

التحليل التقني

يكمن جوهر ثغرة HermeticReader في قدرتها على تجاوز سياسة الأصل الواحد للمتصفح (same-origin policy)، وهي ركيزة أساسية للأمن على الويب تمنع النصوص البرمجية من أصل ما من الوصول إلى بيانات من أصل آخر. الاستغلال الناجح لهذه الثغرة يتيح للمهاجم الوصول إلى بيانات حساسة مرتبطة بجلسة الضحية عبر أصول متعددة، بما في ذلك المحتوى الموثق من تطبيقات الويب الخارجية المحملة في متصفح الضحية. يتطلب ذلك شرطاً واحداً: إقناع الضحية بزيارة رابط URL مُصمم خصيصاً أو التفاعل مع صفحة ويب مخترقة. هذا التفاعل هو نقطة الدخول التي تُشغل المسار البرمجي المعرض للخطر داخل الإضافة. وفقاً للتقرير الفني لـ Guardio Labs، تتسلسل عملية الهجوم بخمس مراحل متكاملة، كل منها يستفيد من نقاط ضعف دقيقة:

• تبدأ العملية بصفحة ويب يسيطر عليها المهاجم، والتي تقوم باستدعاء عنصر iframe يتم تحميله من موارد الإضافة نفسها.
• يقوم هذا الـ iframe، بمجرد تحميله، بإرسال أوامر محددة لتعديل إعدادات الإضافة. الهدف هو تنشيط محرك Hermes، وهو المكون داخل الإضافة المسؤول عن تكامل وظائف WhatsApp، وهذا يتم فقط إذا كانت علامة ميزة معينة ("floodgate-add") ممكنة.
• بعد تنشيط المحرك، تفتح صفحة المهاجم تطبيق WhatsApp Web في علامة تبويب جديدة بالمتصفح، ولكن في الخلفية، لضمان عدم لفت انتباه الضحية.
• يستمر الـ iframe في إرسال أوامر مباشرة إلى محرك Hermes، ولكن هذه المرة تكون الأوامر موجهة تحديداً ضد علامة تبويب WhatsApp التي تم فتحها حديثاً، بعد أن يكون الـ iframe قد حصل على معرفها الرقمي.
• في المرحلة الأخيرة، يقوم محرك Hermes بمعالجة WhatsApp Web عن طريق حقن نموذج POST (form) مصمم خصيصاً داخل DOM (نموذج كائن المستند) الخاص بصفحة WhatsApp. هذا النموذج هو الأداة التي تستخدم لسرقة البيانات.

الجانب الأكثر دهاءً في هذا الاستغلال يكمن في استغلال نقطتين عميقتين في مواصفات HTML: الأولى هي أن عنصر `option` في HTML، عند عدم وجود سمة `value` له، يقوم بإرسال محتواه النصي بدلاً من قيمة محددة. والمحتوى النصي للعقدة هو سلسلة من كل ما يتم عرضه تحتها. بالتالي، إذا تم نقل DOM الحي لـ WhatsApp إلى داخل عنصر `option`، فإن القيمة المُرسلة ستصبح النص الكامل للصفحة المعروضة. النقطة الثانية هي أن سياسة أمان المحتوى (CSP) الخاصة بـ WhatsApp Web تفتقر إلى توجيه `form-action`. وفقاً للمواصفات، فإن غياب هذا التوجيه يعني أن إرسال نموذج من المستوى الأعلى يمكن أن يؤدي إلى الانتقال إلى أي أصل. وهكذا، يقوم WhatsApp نفسه بعملية التنقل، ويرسل محتوى DOM المعروض الخاص به عبر طلب POST إلى نقطة نهاية يتحكم بها المهاجم، ثم يقوم "بأمانة" بعرض ما يرسله المهاجم رداً على ذلك. نتيجة لهذا التفاعل المعقد ولكن الفعال، يمكن للمهاجم التقاط قائمة الدردشات المعروضة، وأسماء جهات الاتصال، ومعاينات الرسائل، واسم الملف الشخصي، بالإضافة إلى النص المرئي لأي محادثة مفتوحة.

السياق وتأثير السوق

إن الأثر الفعلي لهذه الثغرة يتجاوز مجرد سرقة البيانات، حيث تكمن خطورتها في بساطة متطلبات الاستغلال مقارنة بضخامة العواقب. بخلاف العديد من الهجمات المعقدة التي تتطلب تثبيت برامج ضارة، أو شن هجمات تصيد احتيالي لسرقة بيانات الاعتماد، أو حتى استخراج ملفات تعريف الارتباط الخاصة بالجلسة، فإن HermeticReader لا يتطلب سوى تفاعل واحد من الضحية: زيارة صفحة ويب ضارة. هذا التبسيط الشديد لمتطلبات الهجوم يجعلها في متناول عدد أكبر من المهاجمين ويخفض بشكل كبير حاجز الدخول لشن هجمات واسعة النطاق. مع وجود قاعدة مستخدمين تتجاوز 314 مليون مستخدم لإضافة Adobe Acrobat على Chrome، فإن حجم التهديد كان هائلاً. هذه الإضافة ليست مجرد أداة مساعدة، بل هي جزء لا يتجزأ من بيئة عمل العديد من المستخدمين، مما يضفي عليها ثقة ضمنية قد لا تستحقها بالنظر إلى هذه الثغرة. وصف باحث Guardio Labs، شاكيد بينر، إعداد الهجوم بأنه "عادي لدرجة الإهانة: صفحة يسيطر عليها المهاجم، مصممة لتبدو كنوع الصفحات التي تصل إليها عبر نتائج البحث، رسائل البريد الإلكتروني التسويقية، وما إلى ذلك". هذا التصريح يعكس مدى سهولة خداع المستخدمين من خلال تكتيكات الهندسة الاجتماعية الأساسية عند وجود ضعف تقني عميق في الخلفية. يضع هذا الاكتشاف أيضاً ضوءاً نقدياً على أولويات صناعة الأمن السيبراني. فقد علقت Guardio بالقول إن "الصناعة توجه اهتمامها إلى فئات الاستغلال الدراماتيكية وتترك الجوانب الأساسية على افتراض أنه لا أحد سينظر إليها بجدية. التركيب هو التهديد. العيوب في المستويات الأساسية (plumbing-level flaws) تتجمع لتسبب انهياراً على مستوى البناء، وكلما زادت قاعدة التثبيت، طالت فترة بقاء البناء قبل أن يتحقق أي شخص من المفاصل." هذا يوضح أن الثغرات التي تبدو "بسيطة" أو "على مستوى البنية التحتية" يمكن أن تشكل خطراً أكبر بكثير من "ثغرات اليوم صفر" التي تحظى باهتمام إعلامي واسع، وذلك بسبب قدرتها على التضافر مع نقاط ضعف أخرى داخل بيئة معقدة. إن فشل إضافة بهذا الانتشار في الحفاظ على الحد الأدنى من الفصل بين الأصول يؤكد على ضرورة إعادة تقييم شاملة لكيفية تطوير وتدقيق أمن امتدادات المتصفحات.

رؤية Glitch4Techs

تُعد ثغرة HermeticReader فشلاً أمنياً أساسياً من جانب Adobe، وليست مجرد خطأ برمجي عابر. إن توفير إضافة لمتصفح Chrome، يستخدمها مئات الملايين من المستخدمين، بنقطة استغلال "عادية لدرجة الإهانة" والتي تمكن من قراءة بيانات حساسة من تطبيقات ويب أخرى مثل WhatsApp بمجرد زيارة صفحة خبيثة، هو دليل دامغ على الإهمال في المراجعة الأمنية للمكونات الأساسية وتراخي في تطبيق مبادئ الأمن الجوهري. لم تكن الثغرة معتمدة على تقنيات اختراق متطورة، بل على تضافر ضعف في تصميم الإضافة وتجاوزات ذكية لمواصفات HTML ومحدودية في سياسة أمان المحتوى (CSP) الخاصة بـ WhatsApp Web. هذا يشير إلى عدم وجود فهم معمق لسطح الهجوم الكلي الذي يمكن أن تخلقه الامتدادات المعقدة. هذه الحادثة لا تقتصر على كونها مجرد "علقة" في أمن تطبيق واحد، بل تؤكد أن التركيز المبالغ فيه على "فئات الاستغلال الدراماتيكية" يتجاهل الثغرات "على مستوى السباكة" التي تتجمع بصمت لتسبب انهياراً واسع النطاق في الثقة والبيانات. الفشل هنا ليس في تعقيد الهجوم، بل في فشل Adobe - بصفتها مطوراً رئيسياً - في حماية إضافة ذات انتشار هائل من نقطة ضعف بسيطة تستغل تفصيلاً دقيقاً في مواصفات الويب، مما يضع عبء حماية البيانات بشكل كامل على المستخدم النهائي غير المدرك. هذا يكشف عن إخفاق منهجي في تطبيق مبادئ الأمن من أول نقطة في دورة حياة تطوير البرمجيات.