كشفت ثغرة أمنية قديمة في برمجيات الواي فاي التي تطورها شركة برودكوم عن مخاطر تهدد ملايين أجهزة التوجيه اللاسلكية، بعدما أظهر باحث أمني إمكانية استغلال خلل يعود إلى عام 2010 لاختراق أجهزة متصلة بالشبكة، من دون الحاجة إلى معرفة كلمة مرور الواي فاي أو تدخل صاحب الجهاز.
وبحسب تقرير نشره موقع «The Register»، اكتشف الباحث الأمني كوينتين كايزر ثغرتين في تطبيق الواي فاي الخاص بشركة برودكوم، وأطلق على المشكلة اسم «WPSplinter». وأوضح أن محاولات سابقة لمعالجة الخلل لم تنجح، وفقاً لنتائجه، في إغلاق الثغرة بصورة كاملة.
تكمن المشكلة في طريقة تعامل البرمجيات مع خاصية الإعداد المحمي لشبكة الواي فاي (WPS)، التي تتيح توصيل الأجهزة بالشبكات اللاسلكية من دون إدخال كلمة المرور يدوياً.
ووفقاً للباحث، يمكن إرسال رسائل مصممة خصيصاً لاستغلال الخلل والتسبب في إفساد الذاكرة، بما قد يسمح للمهاجم بتشغيل تعليمات برمجية ضارة على جهاز التوجيه، شرط وجوده ضمن نطاق الشبكة اللاسلكية.
ولا يتطلب هذا السيناريو معرفة كلمة مرور الشبكة مسبقاً، كما لا يستلزم من المستخدم تنفيذ أي إجراء، وتكمن خطورته في أن جهاز التوجيه يمثل نقطة عبور رئيسية لحركة البيانات بين الأجهزة المتصلة بالإنترنت، ما يجعل السيطرة عليه تهديداً محتملاً لأمن الشبكة بأكملها.
1.56 مليون جهاز في بلجيكا وحدها
اختبر كايزر الثغرة على أجهزة توجيه تستخدمها شركات اتصالات بلجيكية، بينها بروكسيموس وأورانج وVOO، وتمكن من إثبات إمكانية استغلالها في أجهزة محددة.
وفي إحدى التجارب على جهاز ASKEY TCG3000، نجح في تشغيل برنامج ضار واستخراج كلمة مرور شبكة الواي فاي من ذاكرة الجهاز، ثم إعادة إرسالها لاسلكياً.
وتشير تقديرات الباحث إلى احتمال تأثر نحو 850 ألف جهاز توجيه تابع لبروكسيموس، و500 ألف جهاز لدى VOO، و210 آلاف أجهزة لدى أورانج بلجيكا، ليصل الإجمالي إلى نحو 1.56 مليون جهاز. وهذه الأرقام تقديرية، ولا تعني أن جميع الأجهزة المذكورة ثبتت قابليتها للاختراق بصورة فردية.
ولا تقتصر المخاوف على بلجيكا، إذ تستخدم شركات تصنيع عديدة شرائح وتقنيات واي فاي من برودكوم في منتجاتها، وقد يؤدي انتشار البرمجيات المعنية إلى اتساع نطاق الأجهزة المعرضة للخطر عالمياً، إلا أن العدد الإجمالي للأجهزة المتأثرة لم يُحدد بعد.
لماذا يصعب إصلاح الثغرة؟
بحسب كايزر، كانت برودكوم على علم بالمشكلة منذ عام 2018، لكنها لم تعالجها بصورة كاملة، وفقاً لنتائجه، وأشار إلى أن الشركة أوصت مصنّعي الأجهزة بالانتقال من تطبيقها الخاص إلى برنامج «hostapd» مفتوح المصدر، وهو أحد الحلول المحتملة لتجنب الخلل في الأجهزة التي يمكن تحديث برمجياتها بهذه الطريقة.
وتزداد المشكلة تعقيداً بالنسبة إلى أجهزة التوجيه القديمة التي تعتمد على شرائح من برودكوم وتعمل بنظام eCos، ومنها BCM3380 وBCM3383 وBCM33834، إذ قد لا تحصل بعض هذه الأجهزة على تحديثات أمنية جديدة.
كما قد تظل أجهزة أخرى تعمل بشرائح مثل BCM3390 وBCM65xx وBCM68xx عرضة للخطر، ما لم تُحدّث برمجياتها بالطريقة المناسبة.
وتوضح هذه الحالة إحدى المشكلات الأساسية في أمن الأجهزة المتصلة بالإنترنت، وهي أن اكتشاف الثغرة لا يعني بالضرورة وصول الإصلاح إلى المستخدمين، خصوصاً عندما يعتمد تحديث الجهاز على الشركة المصنّعة أو مزود خدمة الإنترنت، أو عندما يتوقف الدعم الفني للمنتج.
ماذا فعلت برودكوم؟
ذكر كايزر أنه أبلغ برودكوم بالثغرات في يوليو 2026، ومنح الشركة والجهات المعنية مهلة قبل الكشف عنها علناً، وأفاد بأن الشركة أكدت في 28 يوليو توفر تحديث أمني، لكنها لم تزوده في اليوم التالي برقم تعريف رسمي للثغرة أو بنسخة من الإشعار الذي قالت إنها أرسلته إلى الشركات المصنّعة.
كما تواصل الباحث مع مزودي الخدمة المعنيين، وأحال نتائجه إلى جهات الأمن السيبراني في بلجيكا. وبحسب روايته، لم تكن الأجهزة المتأثرة التي حددها قد تلقت تحديثاً حتى 15 أكتوبر 2026.
ورغم إثبات إمكانية استغلال الثغرة في الاختبارات، لم يذكر الباحث وجود أدلة على وقوع هجمات فعلية باستخدامها، لكنه حذر من أن استغلالها قد يتيح لمهاجم قريب من المنزل أو المكتب السيطرة على جهاز توجيه ضعيف الحماية، أو سرقة بيانات الدخول إلى الشبكة، أو التدخل في حركة البيانات.
يُنصح مستخدمو أجهزة التوجيه القديمة بالتحقق من طراز الجهاز وتحديث برمجياته عبر الشركة المصنّعة أو مزود الخدمة، وتعطيل خاصية WPS إذا لم تكن ضرورية وكانت إعدادات الجهاز تسمح بذلك. كما ينبغي استبدال الأجهزة التي انتهى دعمها الأمني ولا تتوفر لها إصلاحات مناسبة، مع تجنب اعتبار تعطيل WPS وحده ضماناً لإغلاق جميع الثغرات المحتملة.
أشار كايزر أيضاً إلى أن أدوات الذكاء الاصطناعي ساعدته في تسريع التحقيق، حيث قال إنها أسهمت في إنجاز عمل كان يتوقع أن يستغرق أشهراً خلال أقل من أسبوع، ومع ذلك، تبقى معالجة الخلل وتوفير التحديثات الأمنية مسؤولية أساسية تقع على عاتق الجهات المطورة والمصنّعة ومزودي الخدمة.
خفف التكرار واجعل المقدمة أشدأبرز التحذير العملي للقارئوحّد المصطلحات التقنية في التقرير