العيب في أندرويد الذي لم يرغب أحد في رؤيته

العيب في أندرويد الذي لم يرغب أحد في رؤيته

في 12 مارس 2026، نشر فريق البحث الأمني في لشركة ليدجر —التي تقف وراء المحفظات المادية للعملات المشفرة— اكتشافًا يجب أن يثير القلق لدى أي مسؤول في القطاع التكنولوجي: يمكن لمهاجم لديه وصول فعلي إلى هاتف أندرويد مزود بشريحة MediaTek استخراج الرقم السري للجهاز، وفك شفرة التخزين الكامل وسرقة العبارات الأساسية للمحافظ الرقمية في 45 ثانية. لا يحتاج إلى أن يكون الهاتف مشغلاً، فقط يحتاج إلى كابل USB ووقت كافٍ لتحضير قهوة.

قبل يومين، كانت جوجل قد نشرت نشرتها الأمنية الشهرية لأندرويد، والتي كانت الأضخم منذ إبريل 2018: تم تصحيح 129 ثغرة في دورة واحدة. من ضمنها، واحدة من الثغرات المعروفة بـ "يوم الصفر" في شرائح كوالكوم —المصنفة كـ CVE-2026-21385— والتي كانت تُستغل بالفعل بشكل نشط قبل أن يعرف الجمهور بوجودها. تؤثر على أكثر من 234 نموذجًا مختلفًا من الشرائح. يقدر الباحثون الأمنيون، استناداً إلى بيانات الحصة السوقية، أن التأثير يمتد ليشمل مئات الملايين من الأجهزة.

نحن أمام سلسلتين من الأزمات المتزامنة ذات الأصول الفنية المختلفة ولكن لهما سبب أساسي واحد: الفراغ الذي يفصل بين اللحظة التي تدرك فيها منظمة ما شيئًا ما، واللحظة التي تتصرف فيها حيال ذلك.

تشريح تأخير لا يجرؤ أحد على تسميته تأخيرًا

التفصيل الذي يجب أن يحتل أكبر اهتمام لدى قادة التكنولوجيا ليس العيب في نفسه، بل الجدول الزمني.

وزعت MediaTek التصحيح لثغرتها على مصنعي الأجهزة في يناير 2026. وقد نُشر اكتشاف ليدجر في 12 مارس 2026. وهذا يعني وجود فترة تتجاوز الشهرين حيث كان لدى مصنعي الهواتف الحل، وفي معظم الحالات لم يتم تطبيقه أو الاتصال به علنًا. وعند وقت النشر، لم يعترف أي مصنع للمعدات الأصلية رسميًا بالمشكلة.

في حالة كوالكوم، أبلغ مجموعة تحليل التهديدات في جوجل عن الثغرة في 18 ديسمبر 2025. قامت كوالكوم بإخطار عملائها في 2 فبراير 2026. وجاء التصحيح للجمهور في النشرة بتاريخ 10 مارس 2026. هناك ما يقرب من ثلاثة أشهر بين اكتشاف الثغرة وتصحيحها المتاح للمستخدم النهائي، في حين كانت الثغرة تُستغل بالفعل في الميدان.

هذا ليس إهمالًا فنيًا، بل هو أعراض هيكلية لصناعة قد عادت ممارسة فترات التعرض إلى جزء مقبول من دورة حياة البرمجيات. المشكلة ليست في المهندسين الذين يكتبون التصحيحات، بل في المنظمات التي تقرر متى وكيف تعطي الأولوية للتواصل. هذه القرار ليس فنيًا: إنه ثقافي، وتتخذه أشخاص يحملون ألقاب نائبي للرئيس أو Chief.

نشر تشارلز غيلمي، المدير التقني لشركة ليدجر، الاكتشاف في الساحة العامة عبر حسابه في منصة X. وقد تم تقديم العرض على CMF Phone 1، بإستخدام شريحة Dimensity 7300. كانت الرسالة الضمنية واضحة: إذا استطعنا تكرارها في معمل في 45 ثانية، فبإمكان شخص لديه حوافز مالية أفضل القيام بذلك في أقل من ذلك، وفي ظروف أقل ضبطًا.

ما الذي انكسر لم يكن العيب

تفتت نظام أندرويد هو حقيقة هيكلية يعرفها جيدًا أي مسؤول في هذا القطاع. MediaTek، كوالكوم، يوني سوك، إيميجنيشن تكنولوجي، وأرم تعايشوا في نفس النشرة الأمنية لشهر مارس، مما يساهمون مجتمعيين في معظم الثغرات الـ 129 التي تم تصحيحها. كل واحد منهم يعمل في أوقاته الخاصة، مع اتفاقيات عدم افصاح خاصة بهم، ومعاييرهم الخاصة لتحديد متى تستحق تهديدًا ما الإبلاغ العاجل ومتى يمكن أن تنتظر حتى الدورة العادية التالية.

هذا التفتت ليس المشكلة. المشكلة هي أن أي شركة ضمن النظام لم تبدُ أنها تحمّلت مسؤولية الرد على السؤال الأكثر إحراجًا: إذا كان مصنعو الهواتف قد حصلوا بالفعل على التصحيح من MediaTek منذ يناير، ولم يقم أي منهم بتثبيته أو التواصل بشأنه، فمن المسؤول عن الأجهزة التي تعرضت للاختراق خلال تلك الفترة.

الإجابة المؤسسية القياسية في مثل هذه الحالات تميل إلى أن تكون توزيعًا للذنب بكفاءة تؤدي إلى إعفاء جماعي. تشير MediaTek إلى أنها قامت بتسليم التصحيح، بينما يشير OEMs إلى أنهم يعملون في دورات التحديث الخاصة بهم. وتؤكد جوجل أن النشرة الشهرية هي آلية صحيحة. وكنتيجة، فإن المستخدم النهائي، الذي يحمل هاتفه في جيبه، لا يعلم أنه يحمل ثغرة تمكّن من إفراغ محفظته من العملات المشفرة في الوقت الذي يستغرقه لدفع ثمن قهوة.

هذا ليس مشكلة في هندسة البرمجيات، إنها مشكلة في هيكلية الالتزامات ضمن سلسلة القيمة حيث ترفض أي جهة إجراء المحادثة حول ما يحدث عندما تتصادم الحوافز التجارية للسرعة مع الحوافز الأمنية للعمليات. تحظى OEMs بالضغط لإطلاق الأجهزة. يُجبر البائعون على إحداث حجم مبيعات. وضغط هائل يقع على فرق الأمان لتجنب صدور عناوين رئيسية قد تردع المبيعات. في هذا المثلث، أمن المستخدم النهائي هو الأصل الذي يصر الجميع على حمايته ولكن لا يرغب أحد في تكلفته.

ثمن الراحة الإدارية

يوجد نمط يظهر بوضوح في أزمات الأمن على نطاق صناعي: فترة صمت بين المعرفة الخاصة بالمشكلة وتصحيحها العلني. هذه الفترة ليست عرضية، بل هي نتيجة لقرارات نشطة اتخذتها أشخاص حسبوا، بشكل واعٍ أو غير ذلك، أن راحة عدم إعلان حالة الطوارئ تساوي أكثر من خطر تعرض مستخدميهم.

في حالة الثغرة من "يوم الصفر" لكوالكوم، كانت الاستغلالات النشطة تحدث بالفعل قبل أن يعرف الجمهور بالعيب. هذا يعني أن ممثلين ذوي مهارات عالية —تصفهم جوجل بـ "استغلال محدود ومستهدف"— كانوا يعملون بميزة معلوماتية على المستخدمين، المصنّعين وقطاعات التوزيع. لا تتشكل هذه النوعية من المزايا بين عشية وضحاها، بل تتطلب وقتًا للاعتراف، وتطوير الثغرة، ونشرها. وقد حدث كل هذا أثناء أن الثغرة كانت معروفة في دوائر خاصة ولكن لم يتم التواصل بها للعامة.

تمتلك بنية أمان أندرويد آليات لتخفيف هذا. يسمح نظام التحديث عبر تحديثات نظام Google Play بتوزيع التصحيحات لبعض المكونات دون انتظار الدورة الشهرية. يمكن أن تصل التحديثات لمكون Media Codecs Mainline، المضمنة في النشرة لشهر مارس، مباشرةً إلى الجهاز. ولكن هذه الآليات تعمل فقط إذا قام المصنّعون بتنفيذها وإذا كان لدى المستخدمين أجهزة تدعمها. بالنسبة لمئات ملايين الهواتف المزودة بشرائح MediaTek التي لم تتلقَ التصحيح في يناير، لا يعوض أي آلية تقنية القرار التنظيمي بعدم إعطاء الأولوية لهذا التحديث.

من الجدير بالذكر أن جوجل وآبل ومصنعي الهواتف الذين يستخدمون شرائح Snapdragon عالية الأداء يتضمنون رقائق أمان مخصصة تقدم طبقة حماية إضافية غائبة عن الأجهزة المتأثرة بالثغرة من MediaTek. هذا ليس تفصيلًا في المواصفات الفنية، بل هو فرق في فلسفة التصميم لها أثر مباشر على مستوى تعرض المستخدم. وهو فرق اختارت الفرق الإدارية في الشركات المصنعة للأجهزة المتوسطة والمنخفضة ع310صنصفه سنويًا لعدم جعله موضوع نقاش عام.

القيادة التي لم يتمكن النظام البيئي لأندرويد من تقديمها

المسؤول الذي يقرأ هذه الملاحظة ربما لا يصنع هواتف أو يصمم شرائح. ولكنه يقود منظمة توجد، مع يقين إحصائي، بعض اختلافات من هذا النمط نفسه: معلومات حول خطر معروف لم ترتق إلى مستوى أعلى نظراً لأن تصعيدها سيتولد عنه عدم ارتياح، وتفعيل صراعات أولويات، أو لتفريع محادثات لا يرغب أحد في إجرائها قبل إغلاق ربع السنة.

الأزمات الأمنية على نطاق واسع ليست نتيجة لفشل المهندسين. بل هي نتيجة لمنظمات حيث سرعة إدراك المشكلة أبطأ بشكل منهجي من سرعة انتشار الضرر. لا يتم حل هذه التباين من خلال توظيف مهندسين أفضل، بل يتم حله من خلال بناء ثقافة تجعل الاعتراف بالتعرض المبكر غير مكلف سياسيًا.

قد قامت النشرة لشهر مارس 2026 بتصحيح 129 ثغرة. الثغرة التي لا يعكسها هذا الرقم هي الموجودة في أي منظمة تعلمت إدارة مظهر السيطرة بشكل أفضل من السيطرة نفسها. لا يوجد لها CVE مربوط. لكنها تحمل تكلفة دائمًا ما تكون أعلى من التصحيح الذي لم يرغب أحد في نشره في الوقت المحدد.

ثقافة المنظمة لا تعكس ما يعلنه قادتها في عروضهم الاستراتيجية: إنها النمط الدقيق حول أي معلومات يتم التواصل بها، ومتى يتم التواصل بها، ومن يُسمح له بعدم التواصل بها دون تحمل العواقب.