ثغرة أمنية حرجة في Axis Camera Station: CVSS 9.9، تم إصدار تحديث
أعلنت Axis Communications عن الثغرة الأمنية CVE-2026-13312 التي تؤثر على برامج AXIS Camera Station Pro و Camera Station 5. تم إصدار تصحيحات للمشكلة الحرجة التي حصلت على تصنيف CVSS 9.9. كما سلطت الثغرات الأمنية الأخرى التي تم الكشف عنها في نفس اليوم الضوء على أهمية التفويض والتحكم في الوصول في أنظمة إدارة الفيديو.
أصدرت Axis Communications نشرة أمنية رسمية بتاريخ 10 نوفمبر 2026، بخصوص ثغرة أمنية حرجة تؤثر على برامج إدارة الفيديو الخاصة بها.
تم تسجيل الثغرة، المعروفة باسم CVE-2026-13312، وحصلت على درجة 9.9 في تقييم CVSS 3.1، مما يصنفها على أنها حرجة.
تؤثر الثغرة الأمنية على إصدارات معينة من برامج AXIS Camera Station Pro و AXIS Camera Station 5. وتذكر الشركة المصنعة أن المشكلة قد تسمح للمهاجم باختراق النظام.
وفقًا لبيان Axis، تم تحديد الثغرة الأمنية من قبل الباحث الأمني رايان فينتون، الذي شارك في برنامج مكافآت الأخطاء لـ Camera Station Pro التابع للشركة.
بينما أعلنت الشركة المصنعة أنها لن تشارك التفاصيل الفنية للثغرة الأمنية، فقد أوضحت أن التحديثات متاحة للأنظمة المتأثرة.
ما هي إصدارات AXIS Camera Station المتأثرة؟
وفقًا للنشرة الأمنية وسجلات CVE الصادرة عن Axis، تتأثر إصدارات البرامج التالية:
AXIS Camera Station Pro
الإصدارات المتأثرة: 6.0 وما فوق، قبل 6.17
الإصدار المصحح: 6.17
AXIS Camera Station 5
الإصدارات المتأثرة: 5.0 وما فوق، قبل 5.59 SR 2
الإصدار المصحح: 5.59 SR 2
هذه الإصدارات هي عتبات التصحيح المعلنة لـ CVE-2026-13312. قد يتطلب الأمر استخدام إصدارات أحدث مدعومة من الشركة المصنعة بسبب مشكلات أمنية أخرى في نفس البرامج.
هنا يكمن تمييز مهم: الثغرة الأمنية المعلنة ليست مباشرة في أجهزة طراز معين من كاميرات IP، بل هي في البرامج المستخدمة لإدارة الكاميرات.
لذلك، فإن استخدام النظام لكاميرات من ماركة Axis فقط لا يعني بالضرورة أنه متأثر بهذه الثغرة. يجب التحقق مما إذا كان برنامج Camera Station ذو الصلة قيد الاستخدام وما هو إصداره المثبت.
ماذا تعني درجة CVSS 9.9؟
متجه CVSS 3.1 المنشور لـ CVE-2026-13312 هو كما يلي:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
يشير هذا التقييم إلى أن الثغرة الأمنية يمكن استغلالها عبر الشبكة ولها تعقيد هجوم منخفض.
ومع ذلك، فإن تفسير النتيجة بشكل صحيح أمر مهم. يذكر سجل CVSS أن الهجوم يتطلب وصولاً موجودًا بامتيازات منخفضة. لذلك، من غير الصحيح وصف الثغرة بأنها هجوم عن بعد لا يتطلب مصادقة.
يشير التقييم أيضًا إلى أن الاستغلال الناجح يمكن أن يكون له تأثير كبير على السرية والنزاهة والتوافر.
ومع ذلك، لم تكشف الشركة المصنعة عن العمليات الدقيقة التي يمكن من خلالها تنفيذ الهجوم.
لذلك، بناءً على المعلومات المتاحة، لا يمكن استنتاج أن تسجيلات الفيديو يمكن اختراقها بشكل قاطع، أو أن تنفيذ التعليمات البرمجية عن بعد ممكن، أو أن الكاميرات يمكن التحكم فيها مباشرة.
ثغرات أمنية أخرى تم الكشف عنها في نفس اليوم
في 10 نوفمبر 2026، نشرت Axis أيضًا سجلات لمشكلات أمنية أخرى تتعلق بعائلة منتجات Camera Station.
من بين هذه الثغرات، تم وصف CVE-2026-12964 بأنها ثغرة في برنامج AXIS Camera Station Pro يمكن أن تسمح لحساب يمتلك امتيازات المشاهدة بالحصول على امتيازات المسؤول.
ترتبط المشكلة، التي حصلت على تصنيف CVSS 8.0، بفئة ضعف تزوير طلبات جانب الخادم (SSRF).
وفقًا للنشرة الرسمية لـ Axis، تتأثر إصدارات Camera Station Pro بين 6.6 و 6.17. يتوفر التصحيح في الإصدار 6.18.
كما تم الكشف في نفس اليوم عن CVE-2026-8372، والتي تحمل درجة CVSS 8.8. يحدد سجل CVE الخاص بالشركة المصنعة خطر الوصول غير المصرح به في إصدارات Camera Station Pro 6.13 وما بعدها، وقبل 6.18.
يشير تقييم CVSS لهذه الثغرة إلى أن تفاعل المستخدم مطلوب للهجوم.
اكتشاف آخر، CVE-2026-12963، يتعلق بقدرة حساب المشاهد على الوصول غير المصرح به إلى موارد التخزين الشبكي المتصلة بالخادم.
توضح هذه الثغرة أن أنظمة إدارة الفيديو تتطلب ضوابط أمنية منفصلة ليس فقط لتغذيات الكاميرا ولكن أيضًا للبنية التحتية للتخزين حيث يتم الاحتفاظ بالتسجيلات.
هل تذكر Axis أن الثغرات الأمنية يتم استغلالها؟
تذكر نشرة Axis الأمنية CVE-2026-13312 أنه اعتبارًا من 10 نوفمبر 2026، لا يوجد استغلال معروف علنًا، وأن الشركة المصنعة ليست على علم باستغلال الثغرة.
يتضمن بيان مماثل في نشرة CVE-2026-12964 الأمنية.
ومع ذلك، فإن عدم وجود هجوم معروف لا يعني أن الثغرة الأمنية غير مهمة.
بمجرد نشر الثغرات الأمنية وتوفر الإصدارات المتأثرة والإصلاحات للجمهور، فهذا يعني أنه لا ينبغي لمديري الأنظمة تأخير خطط التحديث الخاصة بهم.
من ناحية أخرى، فإن نشر سجل CVE وحده لا يثبت وقوع حادث هجوم فعلي.
لماذا تعتبر خوادم إدارة الكاميرات حاسمة؟
تُستخدم أنظمة إدارة الفيديو للمراقبة والإدارة المركزية لعدد كبير من الكاميرات.
يمكن لهذه الأنظمة إدارة اتصالات الكاميرات، وأدوار المستخدمين، وأذونات العرض، وفي بعض التركيبات، البنية التحتية لتخزين التسجيلات.
لذلك، في تصميم الأمان، يجب حماية ليس فقط اتصالات الشبكة للكاميرات، ولكن أيضًا خادم VMS نفسه.
خاصة في شبكات الشركات، يجب تخطيط أذونات الوصول إلى أنظمة إدارة الكاميرات بعناية. قد يؤدي منح امتيازات المسؤول لكل مشغل إلى إنشاء خطر أمني غير ضروري.
علاوة على ذلك، بدلاً من أن تكون واجهات الإدارة متاحة مباشرة عبر الإنترنت، يجب النظر في استخدام طرق وصول عن بعد آمنة ومناسبة للاحتياجات.
يجب أيضًا تقييد الاتصالات بين شبكة الكاميرات وخوادم الإدارة وأنظمة الشركات الأخرى بناءً على التفويض والضرورة.
ماذا يجب على المدمجين والمؤسسات في تركيا فعله؟
بالنسبة لمدمجي الأمن ومديري الأنظمة وعملاء الشركات الذين يستخدمون Axis Camera Station في تركيا، يجب أن تكون الخطوة الأولى هي تحديد إصدار البرنامج الحالي.
التسلسل الموصى به للتحقق هو كما يلي:
- تحديد منتج AXIS Camera Station المثبت ورقم إصداره الدقيق.
- مقارنة الإصدار بالنطاق المتأثر في سجل CVE ذي الصلة.
- التحقق من نشرات Axis الأمنية وملاحظات الإصدار الحديثة.
- الاحتفاظ بنسخ احتياطية آمنة لتكوينات النظام والبيانات الضرورية قبل التحديث.
- تطبيق التحديث الموصى به من الشركة المصنعة خلال فترة صيانة مناسبة.
- التحقق من اتصالات الكاميرا، وأذونات المستخدم، ووظائف التسجيل بعد التحديث.
خاصة في البنى التحتية الحيوية، والمستشفيات، ومرافق التصنيع، والمراكز اللوجستية، والشركات التي لديها شبكات كاميرات واسعة، يجب تخطيط أعمال الصيانة مع مراعاة الاستمرارية التشغيلية.
في الختام، تذكرنا CVE-2026-13312 بأن أمان الكاميرات لا يقتصر فقط على برامج الجهاز. خوادم إدارة الفيديو، وأذونات المستخدم، والبنى التحتية للتسجيل هي أيضًا أجزاء أساسية من سلامة أمان النظام.
تؤكد بيانات Axis الصادرة في 10 نوفمبر 2026 على أهمية التحديث المنتظم لهذه المكونات وتقييد أذونات الوصول.
المصادر
Axis Communications — النشرة الأمنية الرسمية لـ CVE-2026-13312، 10 نوفمبر 2026
https://www.axis.com/dam/public/e4/2d/85/cve-2026-13312pdf-en-US-561251.pdf
برنامج CVE — سجل CVE-2026-13312 الصادر عن Axis، 10 نوفمبر 2026
https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/13xxx/CVE-2026-13312.json
Axis Communications — النشرة الأمنية الرسمية لـ CVE-2026-12964، 10 نوفمبر 2026
https://www.axis.com/dam/public/50/3b/39/cve-2026-12964pdf-en-US-561250.pdf
برنامج CVE — السجل الرسمي لـ CVE-2026-8372، 10 نوفمبر 2026
https://www.axis.com/dam/public/50/3b/39/cve-2026-12964pdf-en-US-561250.pdf
برنامج CVE — السجل الرسمي لـ CVE-2026-12963، 10 نوفمبر 2026
https://www.axis.com/dam/public/50/3b/39/cve-2026-12964pdf-en-US-561250.pdf