8 أكتوبر 2026 - غالبًا ما تُعامل الكاميرا كجزء سلبي من نظام الأمان: فهي تراقب بابًا أو رصيف تحميل أو محيطًا، وتسجل ما يحدث. تُعدّ أحدث توجيهات وكالة الأمن السيبراني وأمن البنية التحتية (CISA) بشأن كاميرات CareCam IP تصحيحًا مفيدًا لهذا الافتراض. فالكاميرا المتصلة هي أيضًا جهاز كمبيوتر متصل بالشبكة، مزود ببيانات اعتماد وبرامج ثابتة وخدمات، وقد تتمتع بإمكانية الوصول إلى معلومات حساسة حول إجراءات المؤسسة.

في سبتمبر 2026، نشرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) تحذيرين بشأن أنظمة التحكم الصناعية يتعلقان بمنتجات كاميرات CareCam محددة. لا يعني هذان التحذيران أن جميع كاميرات IP غير آمنة، ولا يُثبتان وجود حملة مؤكدة ضد الأجهزة المتأثرة. وأفادت CISA أنه لم يكن لديها أي استغلال علني معروف لهذه الثغرات الأمنية وقت النشر. إلا أن هذه المشكلات ذات أهمية تشغيلية بالغة: إذ تؤثر إحداها على الوصول إلى الفيديو المباشر دون مصادقة، بينما تتعلق الأخرى ببيانات اعتماد مُضمنة في برنامج الإقلاع.

بالنسبة لمديري الأمن، ومُكاملِي الأنظمة، ومشغلي المرافق، فإن الرسالة أوسع من مجرد الإشارة إلى منتجين. أنظمة المراقبة بالفيديو باعتبارها قدرة أمنية مادية وفئة أصول للأمن السيبراني. يبقى التثبيت أساسيًا، والحوكمة بعد التثبيت لا تقل أهمية.

إفصاحان في سبتمبر، ومساران مختلفان للتسوية

في 8 سبتمبر 2026، نشرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) التقرير الاستشاري ICSA-26-251-01بعنوان " كاميرات CareCam Pro IP". ويحدد التقرير CVE-2026-85083، وهي مشكلة في بيانات اعتماد برنامج الإقلاع (Bootloader) تؤثر على برنامج CareCam ANJIA AJL33PC0801 الثابت. ويُشار إلى البرنامج الثابت المتأثر باسم linux_linux_202008261138_svn13796 / Bootloader U-Boot 2010.06، الذي تم تجميعه في 26 أغسطس 2020.

صنّفت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) هذه المشكلة بدرجة 6.8 (متوسطة الخطورة) وفقًا لمعيار CVSS الإصدار 3.1. على الرغم من أن أسلوب الهجوم المذكور مادي وليس عن بُعد، إلا أنه لا ينبغي الاستهانة بالعواقب لمجرد هذا التحديد: إذ قد يمنح الاستغلال الناجح للمهاجم سيطرة كاملة على الجهاز. وتشير تقييمات CISA إلى تأثيرات على السرية والنزاهة والتوافر. وبعبارة أخرى، قد تصبح الكاميرا التي يمكن الوصول إليها فعليًا نقطة دخول إلى اللقطات والإعدادات وعلاقة الثقة المحيطة بالجهاز.

بعد أسبوع، في 15 سبتمبر 2026، نشرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) التقرير ICSA-26-258-08، المتعلق بكاميرا CareCam CM2507 التي تعمل ببرنامج v251211.1507. يُعد هذا التقرير بالغ الأهمية لأي شخص مسؤول عن سرية أي موقع، لأنه يُفصّل نقاط ضعف متعددة، منها: غياب آلية المصادقة لبث الفيديو، وكشف كلمة مرور فارغة عبر إدارة ONVIF، وضعف تخزين بيانات الاعتماد، وتخزين بيانات اعتماد الشبكة اللاسلكية كنص عادي.

المشكلة الرئيسية هي CVE-2026-88259. وفقًا لوكالة الأمن السيبراني وأمن البنية التحتية (CISA)، لا تتطلب كاميرات CM2507 المتأثرة مصادقة للوصول إلى خدمة بث الفيديو عبر الشبكة. يمكن لمهاجم غير مصادق عليه، لديه بالفعل وصول إلى الشبكة، الحصول على فيديو مباشر. لا يقتصر الأمر على مجرد مشكلة تتعلق بجودة البرمجيات، بل في سياق الكاميرات التي تغطي المداخل، ومناطق الإنتاج، والمخازن، وقاعات الاجتماعات، أو تحركات الموظفين، تُعدّ هذه مشكلة سرية مباشرة.

لماذا يُغيّر البث المباشر غير الموثق مفهوم المخاطر؟

يركز الأمن المادي عادةً على ما يمكن أن تكشفه الكاميرا بعد وقوع الحدث: من دخل، وأين تحركت الأشياء، وما إذا كان قد تم فتح باب. إلا أن ثغرة البث المباشر تُغير هذا المنظور، إذ تُمكّن مراقباً غير مُصرّح له من معرفة كيفية عمل الموقع قبل وقوع الحدث: أنماط الدوريات، وجداول التسليم، والمناطق المشغولة، والنقاط العمياء، وعادات التحكم في الوصول، ووجود المعدات القيّمة.

لهذا السبب، فإنّ الكشف عن ثغرة CareCam CM2507 يتجاوز المصطلحات التقنية لـ "انعدام المصادقة". تصنّف MITRE هذه المجموعة من نقاط الضعف تحت مسمى CWE-306، أي انعدام المصادقة للوظائف الحيوية. والوظيفة الحيوية في هذه الحالة ليست إجراءً إداريًا مجردًا، بل هي بثّ صور مباشرة من جهاز مراقبة.

قد تتجاوز التداعيات مجرد الصور. تشير إرشادات وكالة الأمن السيبراني وأمن البنية التحتية (CISA) أيضًا إلى تخزين بيانات اعتماد الشبكات اللاسلكية كنص غير مشفر. فإذا تم الكشف عن بيانات الاعتماد المستخدمة في الكاميرا، فقد يمتد نطاق الحادث من نقطة نهاية واحدة إلى الشبكة التي يمكن الوصول إليها. وهذا أحد الأسباب التي تجعل الكاميرات وأجهزة التسجيل وأنظمة إدارة الفيديو لا ينبغي أن ترث تلقائيًا نفس مستوى ثقة الشبكة الذي تتمتع به محطات العمل المكتبية أو الأنظمة التشغيلية الحيوية.

ليس الهدف إثارة الذعر حول كل كاميرا متصلة. فالمعدات المختارة والمثبتة والمُصانة جيدًا تُوفر أدلة قيّمة وتُشكل رادعًا. الهدف هو التوقف عن التعامل مع الكاميرا كجهاز مُغلق بمجرد تركيبها. سواءً كان النظام يستخدم كاميرات مراقبة سلكية، أو اتصال واي فاي، أو اتصال خلوي، فإنه يحتوي على نقاط ضعف تستدعي وجود مسؤول، وجرد للموارد، وآلية استجابة.

كلمة "مادي" لا تعني "غير ذي صلة"

يستحق اكتشاف كاميرا CareCam Pro نموذج تهديد مختلف. فأسلوب هجومها وفقًا لنظام CVSS مادي. وهذا ما يميزها عن بث الفيديو المتاح عبر الشبكة، لكنه لا يجعلها مجرد مسألة نظرية.

قد تكون الكاميرات الخارجية، والأجهزة المثبتة في الأماكن العامة، والكاميرات الموجودة على واجهات المباني المنخفضة، ووحدات البيع بالتجزئة، وخزائن المعدات التقنية غير المؤمنة، أكثر سهولة في الوصول إليها مما هو مُسجل في سجلات الأصول. فقد يكون الجهاز متاحًا فعليًا أثناء الصيانة، أو التجديد، أو انقطاع التيار الكهربائي، أو تسليم الموقع، أو ببساطة لأنه تم تركيبه لتغطية المنطقة وليس لمقاومة العبث.

تُعدّ بيانات الاعتماد المُضمّنة في النظام صعبة الإدارة بشكل خاص لأنها مُدمجة في المنتج بدلاً من أن يختارها العميل ويُبدّلها. تُوضّح MITRE هذا النمط تحت عنوان CWE-798، "استخدام بيانات الاعتماد المُضمّنة في النظام". لا تكمن المشكلة في إمكانية استغلال كل بيانات الاعتماد المُضمّنة، بل في عدم قدرة المؤسسة على الاعتماد على إجراءات إدارة كلمات المرور المعتادة لإزالة بيانات اعتماد لا تتحكّم بها.

بالنسبة لفرق المراقبة، يُعيد هذا الربط بين المرونة المادية والإلكترونية. فغلاف الكاميرا وموقع تركيبها ومنفذ الخدمة المتاح ليسا مجرد تفاصيل تركيب، بل قد يؤثران على إمكانية استغلال ثغرة في البرامج الثابتة. وبالمثل، تحدد ضوابط الأمن السيبراني، مثل تجزئة الشبكة، مدى انتشار أي حادثة أمنية في حال اختراق جهاز واحد.

أسئلة الحوكمة التي يجب طرحها الآن

لا تُعدّ التوصيات الصادرة في سبتمبر مبرراً لاستبدال جميع الكاميرات على عجل، بل هي سبب لإجراء مراجعة دقيقة، خاصةً عندما تعجز المؤسسة عن تحديد مُورّد الجهاز، أو إصدار البرنامج الثابت الذي يعمل عليه، أو كيفية وصوله إلى الشبكة.

1. هل تستطيع المنظمة تحديد مواقع كاميراتها؟

ابدأ بالحقائق، لا بالافتراضات: رقم الطراز، والرقم التسلسلي أو مُعرّف الأصل، وإصدار البرنامج الثابت، والموقع الفعلي، وقطاع الشبكة، وعنوان الإدارة، وجهاز التسجيل أو نظام إدارة الفيديو المرتبط، واسم مالك الشركة. أضف المكونات الأقل وضوحًا حول نظام الكاميرات: أجهزة تسجيل الفيديو الشبكية، ومحولات PoE، وبوابات الوصول عن بُعد، وتطبيقات إدارة الأجهزة المحمولة. في حال ظهور تنبيه من المورّد، يُحدّد هذا السجل ما إذا كان بإمكان الفريق تقييم المخاطر في غضون ساعات بدلًا من أيام.

2. هل يمكن الوصول إلى الفيديو المباشر فقط من قبل المستخدمين والأنظمة المقصودة؟

راجع مسارات البث وخدمات الإدارة، بما في ذلك بروتوكول ONVIF عند استخدامه. يجب ألا يكون الوصول إلى بث الكاميرات متاحًا بسهولة من شبكات الضيوف أو شبكات المكاتب العامة أو الإنترنت العام. ينبغي تقييد الوصول إلى المشاهدين المصرح لهم والمنصات المخصصة، مع استخدام بيانات اعتماد فريدة وضوابط مصادقة مناسبة للنظام. بالنسبة لكاميرات المراقبة اللاسلكية (Wi-Fi CCTV)، يجب اعتبار الشبكة اللاسلكية نفسها جزءًا من حدود الأمان، وليس مجرد طبقة نقل بيانات ملائمة.

3. هل شبكة الفيديو مجزأة؟

تتضمن إرشادات وكالة الأمن السيبراني وأمن البنية التحتية (CISA) الوقائية في تحذيرات CareCam تقليل تعرض الشبكة، وضمان عدم إمكانية الوصول المباشر إلى أجهزة نظام التحكم من الإنترنت، وعزلها خلف جدران الحماية. وبالنسبة لأنظمة الفيديو عبر بروتوكول الإنترنت (IP)، فإن المبدأ العملي واضح: لا تُشغّل الكاميرات، وأجهزة تسجيل الفيديو الشبكية (NVR)، وبنية إدارة الفيديو (VMS)، وأنظمة تكنولوجيا المعلومات المكتبية، والأنظمة الحساسة كشبكة واحدة مسطحة تعتمد على الثقة المتبادلة.

لا يُمكن لتقسيم الشبكة إصلاح جميع عيوب المنتج، ولكنه يُقلل من عدد الأشخاص الذين يُمكنهم الوصول إلى خدمة مُعرّضة للخطر، ويُحدّ من عواقب اختراق أي جهاز. حدّد الأنظمة التي تحتاج فعلاً إلى التواصل مع الكاميرات، واحظر الأنظمة الأخرى، وقيّد واجهات الإدارة بمسارات إدارة مُحدّدة.

4. ماذا يحدث عندما لا يستجيب المورد؟

في كلا التنبيهين الصادرين في سبتمبر، ذكرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) أن شركة CareCam لم تستجب لمحاولات التنسيق، ونصحت المستخدمين بالتواصل مع المورّد للحصول على مزيد من المعلومات. يُعدّ هذا مؤشرًا هامًا في مجال المشتريات ودورة حياة المنتج. ينبغي أن يكون بإمكان المشتري التأكد ليس فقط من وجود المورّد، بل أيضًا من كيفية تعامله مع التقارير الأمنية، ونشره لتحديثات البرامج الثابتة، وإبلاغه بالإصدارات المدعومة، واستجابته عند ظهور أي مشكلة أمنية في المنتج.

في حال عدم توفر تحديث، أو عدم وضوح حالة الدعم، أو تعذر تقييم الكاميرا بثقة، تصبح الضوابط التعويضية هي نقطة القرار: عزل الجهاز، وتعطيل الخدمات غير الضرورية، وتقييد الوصول الإداري بشكل صارم، وتغيير بيانات اعتماد شبكة Wi-Fi التي قد تكون مكشوفة، والحد من الاتصال الصادر أو حظره حيثما أمكن ذلك عمليًا، والنظر في استبدال الجهاز في حال ارتفاع مستوى التعرض للخطر. هذا هو جوهر الإدارة، وليس مجرد عملية تثبيت لمرة واحدة.

تمييز مفيد: الأدلة على المخاطر ليست دليلاً على حملة نشطة

تكون تقارير الأمن أكثر فائدة عندما تكون دقيقة. توفر إفصاحات وكالة الأمن السيبراني وأمن البنية التحتية (CISA) أدلة موثوقة على وجود ثغرات أمنية في منتجات CareCam المحددة وإصدارات البرامج الثابتة. لكنها لاتوفر، وقت النشر، أدلة على استغلال علني معروف لهذه الثغرات. ينبغي على المؤسسات تجنب تحويل أي تحذير متعلق بالمنتج إلى ادعاء غير مدعوم بأن جميع عمليات التثبيت قد تعرضت للاختراق.

لا يُقلل هذا الفارق الدقيق من ضرورة اتخاذ إجراء، بل يُوضح الإجراء المطلوب: التحقق من وجود المنتجات والإصدارات المتأثرة في بيئة العمل؛ تقييم مدى التعرض الفعلي؛ التواصل مع المورد؛ تطبيق الحلول المتاحة؛ واستخدام ضوابط تعويضية في حال عدم وضوح الحلول. بالنسبة للفرق المسؤولة عن المساحات الحساسة أمنيًا، يمكن أن تُجرى هذه المراجعة جنبًا إلى جنب مع دليل مكافحة المراقبة ، مع مراعاة أن ضمان كاميرات الشبكة يتطلب أدوات ومسؤوليات مختلفة عن المسح الميداني.

خلاصة المقال: تحتاج الكاميرات إلى مالكين بعد تشغيلها

الدرس الأساسي المستفاد من توصيات وكالة الأمن السيبراني وأمن البنية التحتية (CISA) الصادرة في سبتمبر 2026 بشأن كاميرات المراقبة (CareCam) ليس التشكيك في تكنولوجيا المراقبة بشكل تلقائي، بل هو أن الكاميرا لا يمكن تقييمها فقط من خلال دقتها أو تغطيتها أو أدائها الليلي أو موضع تثبيتها. فبمجرد توصيلها بالشبكة، تصبح جهازًا يعالج بيانات بصرية حساسة ويشارك في شبكة.

بالنسبة لعملية أمنية حديثة، فإن السؤال الأفضل ليس فقط "هل تستطيع هذه الكاميرا رؤية المنطقة الصحيحة؟" بل هو أيضاً: "من يستطيع رؤية بثها، ومن يستطيع إدارتها، وما هو البرنامج الثابت الذي تعمل عليه، وكيف يتم عزلها، ومن سيستجيب عند ظهور ثغرة أمنية؟"

هذا هو المعيار العملي للمراقبة المتصلة في أواخر عام 2026: التثبيت هو بداية دورة حياة الأمن، وليس نهايتها.

مصادر

• CISA، ICSA-26-251-01: كاميرات CareCam Pro IP، 8 سبتمبر 2026: https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/OT/white/2026/icsa-26-251-01.json
• CISA، ICSA-26-258-08: CareCam CM2507، 15 سبتمبر 2026: https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/OT/white/2026/icsa-26-258-08.json
• إشعار استشاري صادر عن وكالة الأمن السيبراني وأمن البنية التحتية (CISA)، بتاريخ 8 سبتمبر 2026: https://content.govdelivery.com/accounts/USDHSCISA/bulletins/428f494
• معيار MITRE CWE-798، استخدام بيانات الاعتماد المضمنة في التعليمات البرمجية: https://cwe.mitre.org/data/definitions/798.html
• MITRE CWE-306، نقص في المصادقة للوظائف الحيوية: https://cwe.mitre.org/data/definitions/306.html