تمكن باحثان من فريق Interrupt Labs من استغلال ثغرة يوم صفر غير معروفة في هاتف Samsung Galaxy S25 خلال مسابقة Pwn2Own Ireland 2025، ما منحهم سيطرة كاملة على الجهاز بما في ذلك تشغيل الكاميرا وتتبع الموقع الجغرافي للمستخدم دون أي تفاعل منه.
أُعلن عن الاختراق في اليوم الأخير من الفعالية التي تعد من أبرز مسابقات الأمن السيبراني الأخلاقي في العالم، وتهدف إلى الكشف المسؤول عن الثغرات وتحسين مستوى الأمان في الأجهزة الذكية. ويعكس هذا الإنجاز التحديات الأمنية المستمرة التي تواجه الهواتف الرائدة حتى مع عمليات الاختبار المكثفة التي تجريها الشركات المصنعة.
أصل الثغرة وآلية استغلالها
أوضح الباحثان أن الثغرة ناتجة عن خلل في التحقق من مدخلات النظام ضمن بنية البرمجيات الخاصة بـGalaxy S25، ما يتيح للمهاجمين تجاوز آليات الحماية وتنفيذ تعليمات برمجية ضارة عن بعد. ومن خلال إدخال أوامر خبيثة مصممة بعناية، تمكن الفريق من إظهار كيف يمكن لمهاجم فعلي السيطرة على الجهاز دون علم المستخدم، وتشغيل الكاميرا أو تتبع الموقع في الوقت الفعلي.
وتظهر التحليلات أن مثل هذه الثغرات غالباً ما تظهر في مكتبات الوسائط المتعددة أو مكونات النظام، نتيجة التسارع في تطوير الميزات الجديدة على حساب تعزيز الأمان.
جائزة مالية وتأكيد على الكشف المسؤول
نال الباحثان مكافأة قدرها 50 ألف دولار و5 نقاط Master of Pwn تقديراً لسلسلة الاستغلال المتقدمة التي قدماها، ضمن مجموع جوائز المسابقة التي تجاوزت مليوني دولار موزعة على 73 ثغرة فريدة. وتنظم مبادرة Zero Day Initiative هذه المسابقة التي تضمن تسليم تفاصيل الثغرات للشركات المعنية لإصلاحها قبل إعلانها للعامة.
استجابة متوقعة من سامسونج وتحذيرات للمستخدمين
لم تصدر شركة Samsung بعد بياناً رسمياً حول الثغرة، لكن من المتوقع إطلاق تحديث أمني عاجل لمعالجتها، على غرار ما فعلته مع ثغرات Android السابقة. وينصح الخبراء المستخدمين بتفعيل التحديثات التلقائية ومراقبة الإشعارات الرسمية الخاصة بالتحديثات الأمنية، إذ يمكن استغلال هذه الثغرة في حال بقائها دون إصلاح لجمع بيانات حساسة أو تنفيذ عمليات مراقبة رقمية.
