الخلاصة

  • وصل إلى الأجهزة قالب يتوقّع واحداً وعشرين قيمة إدخال، بينما لم يقدّم رمز الاستدعاء سوى عشرين؛ فقرأ Content Interpreter ما يقع خارج حدود المخزن وتوقّف النظام.
  • في الصفحات الأربع التي فُحصت، تظهر التدابير المُعلنة بصيغة موجزة فقط: فحوص حدود عند التشغيل، وتوسيع اختبارات Template Types، وتقييد حقل واحد، ومراحل نشر إضافية، وحق العميل في تأجيل التحديث، ومُراجعان خارجيان بلا اسم، دون أي وثيقة يمكن التحقق منها من خارج الشركة.

المحتوى الذي وقعت فيه الحادثة ليس تصحيحاً لبرنامج تشغيل ولا تحديثاً لتوقيعات الفيروسات. هو مجموعة قواعد يتلقاها المستشعر من الخارج ويفسّرها في مكانه، ويفسّرها داخل النواة. هذا التصميم يشرح لماذا جاء الضرر متزامناً: الخطأ في التفسير يقع على مستوى لا يملك فيه نظام التشغيل وسيلة للنجاة من تعطّل برنامج تشغيل. التحليل الخارجي الذي نشره فريق ERNW يصوغ ذلك بصراحة: «CrowdStrike’s kernel driver (CSAgent.sys) interprets the content of Channel Files directly in the kernel. Conceptually, it is like implementing (at best) a regex engine... directly in the kernel.» (Insinuator، قراءة في 20 أكتوبر 2026).

الآلية نفسها يبلغها القارئ من اقتباسين. الأول يصف حال المستشعر: «Sensors that received the new version of Channel File 291 carrying the problematic content were exposed to a latent out-of-bounds read issue in the Content Interpreter.» (blog.feistel.party). والثاني يسمّي الفارق في البيانات: «the integration code that invoked the Content Interpreter with Channel File 291’s Template Instances supplied only 20 input values to match against.» (Help Net Security). عشرون قيمة حيث كان القالب يتوقّع واحدة وعشرين: هذا يكفي لقراءة تتجاوز الحدود، ويكفي لتعطّل الجهاز. ويصف The Hacker News الواقعة استناداً إلى المراجعة الأولية للشركة: «The "Channel File 291" incident, as originally highlighted in its Preliminary Post Incident Review (PIR), has been traced back to a content validation issue» (The Hacker News).

أما ما أضافه الناشر بعد ذلك، فالصفحات نفسها ترويه ولا تقتبسه: فحوص حدود عند التشغيل، ومجموعة اختبارات أوسع لـTemplate Types تشمل المطابقة دون قيم قالبية، وتقييد الحقل الحادي والعشرين في Content Validator بالمطابقة عبر القالب، وإجراءات اختبار جديدة في Content Configuration System، ومراحل نشر إضافية، وحق أوسع للعميل في تحديد وقت ومكان وصول Rapid Response Content، واستعانة باثنين من مزوّدي الأمن من طرف ثالث لمراجعة جودة مستشعر Falcon (Help Net Security، The Hacker News). ولا يصحب أي بند من هذه البنود، في الصفحات المقروءة، نسخة الضابط ولا تركيب المراحل ولا عتبات الترقية ولا اسم المُراجعين ولا ما انتهوا إليه. وتنقل الصفحات نفسها أيضاً اعتراض الناشر على الروايات التي تحدثت عن تصعيد صلاحيات أو تنفيذ رمز عن بعد؛ وهذا موقف طرف في نزاع، وليس خلاصة مُتحقَّقاً منها.

ثلاث حالات يستحق التمييز بينها، والفارق بينها ليس إدارياً. الضابط مُعلن حين تقول صفحة منشورة إنه موجود. وهو مُنفَّذ حين تُظهر وثيقة مُصدَّرة وبيانات نشر أنه إلزامي على المسار المعني. وهو مُثبت حين تُظهر تشغيلات مضبوطة أن مُدخلاً معطوباً محدداً قد رُفض، مع المخرج المقابل وأثره على الإصدار. كل حالة تتطلّب وثيقة لا تطلبها الحالة السابقة.

كل بند في القائمة يُزيح شيئاً بعينه. فحوص الحدود تُنهي التعطّل في هذه الفئة من الوصول إلى الذاكرة، لكنها لا تمسّ حدود الثقة: التفسير يبقى في النواة، والخطأ التالي في التفسير سيبلغ المستشعرات كافّة في اللحظة نفسها. وتقييد حقل واحد يُغلق حالة واحدة لا عائلة الحالات، ما دامت بقية الحقول تقبل قيماً غير محكمة. ومراحل النشر تُقلّص مدى الضرر بشرط أن تكون عتبات الترقية وإشارات التوقف قائمة ومعروفة، وهما أمران غائبان عن الموجز. أما حق تأجيل التحديث فهو البند الوحيد الذي يتحقق منه العميل بنفسه، وله ثمن: رفض المحتوى يعني رفض ما كان يحمله من كشف.

وما يرفع التقييم درجة واحدة قليل ومحدّد: مخرج Content Validator على مُدخل يعيد إنتاج العطل، مع بيان ما رفضه؛ وتركيب المراحل وعتبات الترقية وشروط الرجوع؛ وأسماء المُراجعين الخارجيين ومهمّتهم ومنهجهم وما انتهوا إليه مع موعد إعادة تحقّق؛ ووثيقة تبيّن أين تقع حدود صلاحيات CSAgent.sys بعد التصحيح. ما دامت هذه الوثائق غائبة، تبقى القائمة في الحالة الأولى، وهذا لا يقول شيئاً عن فعاليتها الحقيقية، بل عمّا يمكن مطالبة الناشر به اليوم. وبطاقة الشركة في دليل BTW هنا: CrowdStrike.