ثغرة بأقصى درجات الخطورة في أداة ذكاء الأعمال مفتوحة المصدر Metabase، تُتتبَّع تحت الرقم CVE-2026-72898، تتيح لمهاجم غير مُصادَق عليه حقن SQL عبر نقطة نهاية إعادة تعيين كلمة المرور والسيطرة على النسخة بصلاحيات مسؤول. تحمل الثغرة درجة CVSS تبلغ 10.0، وقد استُغِلّت كثغرة يوم صفر قبل توفّر أي تصحيح، وأضافتها وكالة CISA بالفعل إلى كتالوج الثغرات المعروفة المُستغَلّة لديها. إن كنت تشغّل Metabase، فالافتراض الآمن الوحيد هو أن النسخ المتصلة بالإنترنت جرى فحصها لحظة نشر الاستغلال علنًا: حدِّث إلى إصدار مُصحَّح أو احجب نقطة النهاية اليوم.
هذه ليست ثغرة نظرية. أكّدت Metabase أن الثغرة استُخدِمت في هجمات حقيقية، وقد كشفت ثلاث شركات على الأقل — شركة العتاد Framework، وأداة إنشاء النماذج Tally، ومنصة أتمتة سير العمل n8n — عن سرقة بيانات عملاء مرتبطة بها. إليك ما تفعله الثغرة، ومن أصابت، والخطوات الدقيقة لإغلاقها.
ما هي الثغرة CVE-2026-72898؟
CVE-2026-72898 هي ثغرة حقن SQL غير مُصادَق عليها في Metabase تؤدي إلى سيطرة كاملة بصلاحيات المسؤول. يكمن الضعف في نقطة النهاية /api/session/reset_password، وهي متاحة دون تسجيل دخول. وبحسب التنبيه الأمني من Metabase، «كان بإمكان المهاجم حقن استعلامات SQL عشوائية على قاعدة بيانات تطبيق Metabase، ما قد يمنحه صلاحية الوصول كمسؤول إلى النسخة». ولأن نقطة النهاية لا تتطلب أي بيانات اعتماد، فكل ما يحتاجه المهاجم هو وصول شبكي إلى نسخة قابلة للاستغلال — دون كلمة مرور مسروقة ودون أي تفاعل من المستخدم.
بمجرد الدخول كمسؤول، لا يقتصر الضرر على Metabase نفسها. فـ Metabase طبقة ذكاء أعمال تحتفظ باتصالات محفوظة بقواعد بيانات الإنتاج ومستودعات البيانات لديك. ويمكن للمهاجم الذي يملك صلاحيات المسؤول تغيير إعدادات التطبيق، وقراءة بيانات اعتماد الاتصال المخزّنة، والاستعلام عن كل ما يمكن أن تصل إليه تلك الاتصالات، وتصدير النتائج. لهذا السبب وصف باحثون في Horizon3.ai وغيرهم نطاق الأثر بأنه أوسع بكثير مما توحي به أداة لوحة معلومات واحدة — فهو منفذ مباشر إلى أي بيانات جرى إعداد Metabase لرؤيتها. ويصنّف سجل NVD للثغرة CVE-2026-72898 الثغرة بدرجة 10.0، وهي أعلى درجة على المقياس.
ما إصدارات Metabase المتأثرة؟
كل الإصدارات بدءًا من فرع 1.58 فصاعدًا كانت قابلة للاستغلال حتى تصحيحات أغسطس. الإصدارات الأقل من 58 غير متأثرة. أطلقت Metabase إصدارات مُصحَّحة في August 6, 2026، واحدًا لكل فرع مدعوم — حدِّث إلى الإصدار المطابق أو أحدث.
| الفرع | قابل للاستغلال | الإصدار المُصحَّح (OSS / Enterprise) |
|---|---|---|
| 63 | 0.63.0 – 0.63.4 | 0.63.5 / 1.63.5 |
| 62 | 0.62.0 – 0.62.8 | 0.62.9 / 1.62.9 |
| 61 | 0.61.0 – 0.61.10 | 0.61.11 / 1.61.11 |
| 60 | 0.60.0 – 0.60.16 | 0.60.17 / 1.60.17 |
| 59 | 0.59.0 – 0.59.20 | 0.59.21 / 1.59.21 |
| 58 | 0.58.0 – 0.58.23 | 0.58.24 / 1.58.24 |
| < 58 | غير قابل للاستغلال | — |
يتشارك إصدارا المصدر المفتوح (0.x) والمؤسسات (1.x) أرقام الإصدارات نفسها، لذا فإن 0.63.5 و1.63.5 هما التصحيح نفسه على نسختين مختلفتين. إن تعذّر عليك التحديث فورًا، فالحل البديل الموثّق من Metabase هو حجب نقطة النهاية /api/session/reset_password عند الوكيل العكسي أو جدار الحماية لديك حتى تتمكن من التصحيح.
من أُصيب حتى الآن
وقعت الهجمات في الأيام الأولى من August 2026، قبل أن يعلم معظم المشغّلين بوجود الثغرة — وهي السمة المميزة لثغرة يوم صفر حقيقية. وقد تقدّمت عدة شركات منذ ذلك الحين:
- Framework أبلغت عملاءها بأن المهاجمين سرقوا بيانات شخصية شملت الأسماء الكاملة، وعناوين البريد الإلكتروني، وعناوين IP الخاصة بتسجيل الدخول، وعناوين الفوترة والشحن؛ كما جرى كشف حقول VAT وEIN والبريد الإلكتروني للفوترة لعملاء الأعمال. وقالت Framework إن Metabase أبلغتها في August 6، مع تأريخ الاختراق إلى August 3، بحسب تقرير BleepingComputer.
- Tally، أداة إنشاء النماذج، كشفت أن المهاجمين وصلوا إلى عناوين البريد الإلكتروني للمستخدمين وتجزئات كلمات المرور (المخزّنة كتجزئات تشفيرية أحادية الاتجاه)، بينما لم يجرِ الوصول إلى محتوى النماذج والإجابات المُرسَلة.
- n8n، منصة أتمتة سير العمل، قالت إن مهاجمًا حصل على 136 سجل عميل، بحسب تقرير The Hacker News.
الخيط المشترك هو أن أيًّا من هذه الحوادث لم يكن خطأً في Metabase كمنتج بسبب سوء إعداد — بل كانت هذه الشركات تشغّل إصدارًا مدعومًا صادف أنه قابل للاستغلال، وكانت نقطة نهاية إعادة تعيين كلمة المرور متاحة.
كيف تعرف إن كانت نسختك قد اخترِقت
التصحيح يوقف الاستغلال المستقبلي؛ لكنه لا يلغي اختراقًا وقع بالفعل. تحقّق من سجلّاتك بحثًا عن نمط الاستغلال أولًا. المؤشر العلني هو طلب POST إلى /api/session/reset_password يُرجِع HTTP 400، يتبعه بعد وقت قصير طلب GET إلى /api/user/current يُرجِع 200 — تسلسل حقن يبدو فاشلًا لكنه مع ذلك يولّد جلسة مسؤول. وقد نشرت Runzero وHorizon3 وأدوات تتبّع أخرى إرشادات كشف مطابقة لـ العثور على الأصول المتأثرة.
إن عثرت على هذا النمط، أو لم تتمكن ببساطة من استبعاده، فإن خطوات المعالجة بعد التحديث من Metabase هي إبطال كل جلسة نشطة عبر تفريغ جدول core_session، وحذف أي مفاتيح API لا تعرفها، وتدقيق حسابات المسؤولين بحثًا عن تغييرات غير متوقعة، وتدوير بيانات اعتماد كل قاعدة بيانات متصلة، ومراجعة سجلّات استعلامات مستودع البيانات وMetabase بحثًا عن وصول غير مصرّح به. وتدوير بيانات اعتماد قواعد البيانات النهائية هو الخطوة التي يتخطّاها الناس والأهم على الإطلاق، لأن أسرار الاتصال المخزّنة تلك هي بالضبط ما يسعى إليه مهاجم بصلاحيات مسؤول.
لماذا تُعدّ أداة ذكاء الأعمال نقطة الارتكاز المثالية
تؤطّر معظم التغطيات الإخبارية للاختراق الثغرة CVE-2026-72898 على أنها «ثغرة حرجة أخرى، صحِّحها». لكن الدرس الأكثر فائدة يتعلق بموقع الأداة. فمنصات التحليلات وذكاء الأعمال تُمنح وصول قراءة واسعًا ودائمًا إلى أكثر البيانات حساسية لدى المؤسسة — جداول العملاء، والإيرادات، والبيانات الشخصية — وكثيرًا ما تُستضاف ذاتيًا، وتُعرَّض للإنترنت لأجل الفرق البعيدة، ثم يُنسى أمرها وقت التصحيح. هذا المزيج يجعلها هدفًا أعلى قيمة مما يوحي به إطار لوحة المعلومات: اخترق طبقة ذكاء الأعمال ترِث رؤيتها لكل ما خلفها.
الدروس الدفاعية تتجاوز Metabase. أبقِ الأدوات الداخلية بعيدًا عن الإنترنت العام حيثما أمكن، بوضعها خلف VPN أو وكيل انعدام الثقة بدلًا من منفذ مفتوح مكشوف (المنطق نفسه في مقارنتنا بين انعدام الثقة وVPN). عامل أي تطبيق مُستضاف ذاتيًا يملك وصولًا إلى قاعدة بيانات باعتباره جزءًا من سطح هجومك وصحِّحه بالإلحاح نفسه الذي تعامل به حافتك — إذ أثبتت ثغرة RCE قبل المصادقة في Kemp LoadMaster في وقت سابق من هذا العام النقطة ذاتها. وحصِّن المضيف نفسه كي لا يتحوّل اختراق تطبيق واحد إلى سيطرة كاملة على الخادم، كما تناولنا في دليلنا لإعداد VPS الآمن في الساعة الأولى.
الأسئلة الشائعة
ما هي الثغرة CVE-2026-72898؟
إنها ثغرة حقن SQL غير مُصادَق عليها بدرجة CVSS 10.0 في نقطة نهاية /api/session/reset_password في Metabase. يمكن لمهاجم يملك وصولًا شبكيًا حقن SQL والحصول على صلاحية الوصول كمسؤول إلى النسخة دون أي بيانات اعتماد، ثم قراءة أسرار اتصال قواعد البيانات المخزّنة وسحب البيانات المتصلة.
ما إصدارات Metabase التي تحتاج إلى تصحيح؟
أي إصدار من 1.58/0.58 حتى تصحيحات أغسطس. حدِّث إلى 0.58.24 أو 0.59.21 أو 0.60.17 أو 0.61.11 أو 0.62.9 أو 0.63.5 (أو إصدار المؤسسات المطابق 1.x) لفرعك. الإصدارات الأقل من 58 غير قابلة للاستغلال.
هل يجري استغلال CVE-2026-72898 فعليًا؟
نعم. أكّدت Metabase الاستغلال كثغرة يوم صفر، وأضافتها CISA إلى كتالوج الثغرات المعروفة المُستغَلّة في August 11, 2026 مع موعد نهائي فيدرالي للمعالجة في August 14، وكشفت عدة شركات عن سرقة بيانات.
لا يمكنني التحديث الآن. ماذا أفعل؟
احجب نقطة النهاية /api/session/reset_password عند الوكيل العكسي أو جدار الحماية كإجراء تخفيف مؤقت، ثم صحِّح في أقرب وقت ممكن. هذا هو الحل البديل الذي توصي به Metabase نفسها.
كيف أعرف إن كانت نسخة Metabase لدي قد اخترِقت؟
ابحث عن طلب POST إلى /api/session/reset_password يُرجِع HTTP 400 يتبعه طلب GET إلى /api/user/current يُرجِع 200. إن رأيت ذلك، فأبطِل الجلسات، ودوِّر جميع بيانات اعتماد قواعد البيانات المتصلة، واحذف مفاتيح API غير المعروفة، ودقّق حسابات المسؤولين.
المصادر
- Metabase — تحديث أمني (التنبيه الرسمي): الإصدارات المتأثرة والمُصحَّحة، وتخفيف نقطة النهاية، وخطوات المعالجة بعد التحديث.
- NVD — CVE-2026-72898: سجل CVSS 10.0 والوصف التقني.
- The Hacker News — استغلال ثغرة يوم الصفر في Metabase في الواقع: الجدول الزمني للاستغلال، ومؤشرات الاختراق، وكشف n8n عن 136 سجلًا.
- BleepingComputer — Framework وTally تكشفان عن هجمات سرقة بيانات عبر Metabase: البيانات التي سُرِقت من الضحايا المذكورين وتواريخ الكشف.
- Horizon3.ai — بحث هجومي حول CVE-2026-72898: تحليل حقن SQL وأثره.
- Runzero — العثور على أصول Metabase المتأثرة: إرشادات الكشف وجرد الأصول.
وقاص احمد وسیر
وقاص احمد وسیر مطوّر ومهندس أتمتة بخبرة تزيد على 8 سنوات في بناء أنظمة إنتاجية يستخدمها أكثر من 100 ألف شخص. يبني تطبيقات SaaS متعددة المستأجرين، وأتمتة بالذكاء الاصطناعي (n8n، تدفقات LLM، بوتات واتساب)، وبنية استضافة (WHM/cPanel، CloudLinux) — وهو صانع WaSphere وFlowMaticX وعلامة الاستضافة WaseerHost. أنجز أكثر من 100 مشروع لشركات صغيرة ومتوسطة ووكالات وشركات ناشئة ممولة.
