ثغرة ImageMagick الصفرية: خلل رفع الصور الذي يخترق ملايين الخوادم

الخلل الذي يحوّل الصور إلى أسلحة

يتم استغلال ثغرة صفرية حرجة في ImageMagick، مكتبة معالجة الصور الموجودة في كل مكان والمستخدمة من ملايين المواقع، لتحقيق تنفيذ التعليمات البرمجية عن بُعد على خوادم WordPress وLinux. اكتشفها باحثون في Octagon Networks باستخدام محرك التدقيق الذاتي pwn.ai، وتسمح الثغرة للمهاجمين بالسيطرة الكاملة على خادم ويب عبر رفع ملف صورة مُعدّ خصيصاً.

تستغل CVE-2026-25797 تقنية “magic byte shift” في خط معالجة ImageMagick. يدمج المهاجمون شفرة خبيثة داخل ملف .jpg يبدو عادياً، متنكرين بنصوص برمجية خطيرة كصور غير ضارة. عندما يفوّض ImageMagick مهام المعالجة إلى GhostScript، مفسر PostScript المثبت عادة، تحصل الحمولة المصممة على صلاحيات التنفيذ. تعمل الشفرة المحقونة بنفس أذونات تطبيق العرض، مما يمكّن من اختراق الخادم بالكامل.

لماذا 43% من الويب مكشوف

ImageMagick هي مكتبة معالجة الصور الافتراضية في WordPress، الذي يشغّل نحو 43% من جميع المواقع عالمياً. كما أنها مدمجة في تطبيقات الويب المخصصة ومنصات التجارة الإلكترونية وأنظمة توصيل المحتوى عبر بيئات Linux.

ناقل الهجوم بسيط بشكل مدمر. معظم المواقع تقبل رفع الصور — صور الملف الشخصي وصور المنتجات ومعارض الوسائط والصور الرمزية. كل نموذج رفع يصبح نقطة دخول محتملة. يمكن لرفع واحد مُعدّ أن يُعطّل خادماً بملء الذاكرة المؤقتة بأكثر من 1 تيرابايت من البيانات، مما يُسقط الموقع فوراً.

تأتي هذه الثغرة ضمن اتجاه أوسع في 2026 حيث تجاوز استغلال الثغرات التصيد الاحتيالي كطريقة أساسية للوصول الأولي. يفيد Cisco Talos أن نحو 40% من جميع الاختراقات في الربع الرابع 2025 جاءت عبر ثغرات برمجية مستغلة، وتُظهر بيانات VulnCheck أن 28.96% من الثغرات المستغلة المعروفة في 2025 تم تسليحها في يوم نشر CVE أو قبله.

أزمة التصحيح غير المرئية

أُضيف إصلاح إلى الإصدارين 7.1.2-15 و6.9.13-40 من ImageMagick في نوفمبر 2025، لكنه لم يُصنّف رسمياً قط كتحديث أمني. لم تُشر مديرات الحزم القياسية في Ubuntu وAmazon Linux وغيرها من التوزيعات الشائعة إلى التحديث كتحديث أمني حرج. النتيجة: الغالبية العظمى من الخوادم تبقى معرضة وستستمر كذلك حتى 2027 ما لم يتدخل المسؤولون يدوياً.

يمثل هذا فشلاً منهجياً في عملية الإفصاح الأمني مفتوحة المصدر. دون استشارة CVE رسمية عبر القنوات المعتادة، لا يمكن لماسحات الثغرات الإشارة تلقائياً إلى المشكلة. لدى ImageMagick تاريخ من الثغرات الحرجة، بما في ذلك سلسلة الاستغلال الشهيرة “ImageTragick” في 2016 — بعد عقد، تظل المكتبة متجذرة بعمق في البنية التحتية للويب رغم الحوادث الأمنية المتكررة.

لتفاقم المشكلة، تم الكشف عن عدة ثغرات CVE إضافية في ImageMagick خلال 2026، منها CVE-2026-28688 (heap-use-after-free) وCVE-2026-28691 وCVE-2026-25897 (تجاوز عدد صحيح حرج يتيح تنفيذ شفرة تعسفية على الأنظمة 32 بت).

خطوات التخفيف الفورية

ينبغي لمسؤولي الخوادم اتخاذ هذه الإجراءات الآن:

1. تحقق من إصدارك: شغّل `identify -version` على خادمك. أي إصدار أقدم من 7.1.2-15 (7.x) أو 6.9.13-40 (6.x) معرض للثغرة.
2. حدّث يدوياً: لا تنتظر التحديثات الأمنية التلقائية. حمّل وجمّع أحدث إصدار من ImageMagick مباشرة.
3. عطّل مفوّضات GhostScript: عدّل ملف `policy.xml` الخاص بـImageMagick لتعطيل معالجة GhostScript، مما يسد مسار الاستغلال الأكثر شيوعاً.
4. قيّد معالجة الملفات المرفوعة: طبّق التحقق على مستوى البايتات للملفات المرفوعة قبل تمريرها إلى ImageMagick.
5. فكّر في بدائل: مكتبات مثل libvips أو Pillow لديها أسطح هجوم أصغر بكثير لمعالجة الصور.
6. راقب السجلات: راجع سجلات الخادم بحثاً عن إنشاء عمليات غير اعتيادية بعد طلبات رفع الصور.

المصادر والقراءات الإضافية

• ImageMagick Zero-Day Enables RCE on Linux and WordPress Servers — Hackread
• CVE-2026-25797: ImageMagick RCE Vulnerability — SentinelOne
• Critical ImageMagick Vulnerability Exploited for RCE — News4Hackers
• 2026 Cybersecurity Trends: Dominance of Vulnerability Exploits — Gopher Security
• CVE-2026-28688: ImageMagick Vulnerability Update — BitNinja
• State of Exploitation 2026 — VulnCheck