الخلاصة

  • في 19 يوليو 2024 أفلت تحديث محتوى لـ Falcon كان موجّهاً إلى أجهزة Windows، فأسقط ملايين الأجهزة قبل أن توقفه CrowdStrike بعد نحو ثمانٍ وسبعين دقيقة.
  • السؤال المفتوح ليس سبب العطب، بل من يتحمّل ثمنه: سقف المسؤولية في شروط CrowdStrike يُقاس بالرسوم المستحقة في اثني عشر شهراً، ومطالبة Delta Air Lines التي تجاوزت 500 مليون دولار ادّعاءٌ يُضغط به على ذلك السقف، لا مبلغٌ أنتجه.

في الساعة 04:09 تقريباً بتوقيت UTC من يوم 19 يوليو 2024، دفعت CrowdStrike تحديثاً لإعدادات محتوى Falcon إلى أجهزة Windows. وبحلول 05:27 تقريباً كانت قد أوقفت النشر أو أعادته إلى حاله السابقة، وفق ما يسجّله تحليلها الجذري لحادثة Channel File 291. ثمانٍ وسبعون دقيقة بين الإصدار والإيقاف. لكن الإيقاف لا يُعيد تشغيل جهاز: كل آلة أصابها العطب بقيت بحاجة إلى تدخّل بشري على الجهاز نفسه، من شخصٍ يصل إلى وحدة التخزين ويضغط الأزرار.

الخلل لم يكن في المحرّك الأساسي للمستشعر. كان في طبقة أعلى: مُدقِّق المحتوى الذي يفحص تحديثات Rapid Response Content قبل تمريرها. أثناء معالجة تحديث Channel File 291 أجرى ذلك المُدقِّق قراءةً خارج حدود الذاكرة المتاحة له؛ خرج المؤشر عن نطاقه، وانطفأ النظام. هذا هو التسلسل الذي تنشره CrowdStrike في شرحها التقني لحادثة 19 يوليو، وهو يستحق التوقّف عنده: الخطأ لم يكن في هجومٍ خارجي ولا في ثغرة تُستغل من بعيد، بل في التحقّق من محتوى أنتجته الشركة بنفسها. الوصفان منقولان عن الشركة، ولم يُقرأ نصّهما حرفياً في هذه المراجعة.

من جهة الحجم، قدّرت Microsoft أن التحديث أصاب نحو 8.5 مليون جهاز Windows، ووصفت الرقم بأنه أقل من واحد في المئة من مجموع أجهزة Windows العاملة، في منشورها عن مساعدة العملاء على تجاوز الانقطاع. الرقم جهازي بحت، ولا يقيس عدد المؤسسات المتأثرة ولا حجم الخسائر ولا التعويضات المستحقة. أي محاولة لتحويله إلى فاتورة تحتاج إلى وسيطٍ آخر: العقد.

وهنا ينتقل الحدث من الهندسة إلى التوزيع. الخسارة التشغيلية وقعت أولاً على العميل: طائرات على الأرض، أنظمة حجز معطّلة، مكاتب بلا شبكة. الشركة التي دفعت ثمن الساعات الأولى ليست هي الشركة التي كتبت العقد. وبين الاثنين تقف وثيقة تحدّد من يحمل ماذا.

تصف صفحة شروط وأحكام CrowdStrike سقفاً تجميعياً للمسؤولية يُقاس بالرسوم المستحقة أو المدفوعة بموجب نموذج الطلب المعني خلال الاثني عشر شهراً السابقة للحدث الذي ينشأ عنه الالتزام. هذا وصفٌ للبند كما تعرضه الصفحة، وليس قراءةً حرفية لنصّه: عبارة الحدّ الدقيقة ورقم المادة والاستثناءات لم يتسنَّ لنا قراءتها نصّاً. مع ذلك، المعمار واضح بما يكفي للحكم عليه: السقف لا يُقاس بعطب، بل بتاريخ شراء.

وإلى جانب هذا السقف يقف استثناء منفصل للأضرار التبعية أو غيرها من الأضرار. السقف والاستثناء يعملان معاً، ولا يحلّ السقف وحده مسألة العلاج المتاح للمدّعي؛ فحدّ المسؤولية التعاقدية قد يقلّص الرقم، بينما يُخرج الاستثناء نوعاً كاملاً من الخسارة من الحساب ابتداءً. من يقرأ السقف وحده يقرأ نصف البند.

على الجانب الآخر من المعادلة، رفعت Delta Air Lines دعوى ضد CrowdStrike في Georgia في الثامن من أغسطس 2024، شملت ادّعاءات إخلال بالعقد، وسُجّل أنها تطالب بأكثر من 500 مليون دولار، وفق ما أوردته Reuters عن الدعوى. الرقم ادّعاء لا حكم؛ ولا يُثبت أن السقف التعاقدي دُفع أو طُبّق، بل يُظهر المسافة بين ما يطلبه عميل كبير وبين ما ينصّ عليه العقد الذي وقّعه.

تلك المسافة هي قلب المسألة. شركة اشترت برمجيات، وأخرى كتبت في عقدها سقفاً يُقاس بما دفعته تلك الشركة في اثني عشر شهراً. الفارق بين الرقمين ليس سخاءً ولا بؤساً، بل أثر هندسة تعاقدية أُنتجت قبل الحادثة بسنوات، وتُختبر الآن في محكمة.

لكن الصفحة العامة لا تكفي للحكم النهائي. نسخة الشروط السارية، ونموذج الطلب، وأي تعديل تفاوضي، واستثناء الأضرار، والاستثناء التعاقدي الذي حكم علاقة Delta Air Lines تحديداً: كلها لا تُثبتها صفحة الشروط وحدها. الحكم هنا يبقى معلّقاً على وثيقة منفَّذة لم تُقرأ بعد.

في المقابل، أعلنت CrowdStrike إجراءات تصحيحية تشمل تحقّقاً واختباراً أقوى لمحتوى Rapid Response Content، ونشراً مرحلياً، ومراقبة وتنبيهات أفضل، وتعاملاً أكثر أماناً للمستشعر مع المحتوى التالف. ونشرت توصيفاً لتحديث اختبارات تحديثات الاستجابة السريعة يتحدث عن طبقات تحقّق إضافية ونشر متدرّج يهدف إلى التقاط التحديث المشكِل قبل وصوله إلى قاعدة عملاء واسعة. هذا الوصف يخصّ النيّة والتصميم، لا الفعالية المُثبتة: لم يُجرَ تدقيق مستقل للضوابط الجديدة بعد.

ثم إن الحادثة لم تقف عند شركة واحدة. فقد أنتجت سلسلة دعاوى من شركات طيران وعملاء مؤسسين يطلبون تعويضاً عن اضطراب أعمالهم، كما سجّلت Reuters. في كل واحدة من هذه الملفات يتكرّر السؤال نفسه: أي سقف، وأي استثناء، وأي وثيقة.

الحصيلة أن 19 يوليو 2024 لم يكن يوماً مالياً لـ CrowdStrike بقدر ما كان يوماً تعاقدياً. الفشل مقبول ومُعترَف به؛ أمّا التوزيع فلم يُحسم بعد. والسقف المبني على الرسوم لا ينفي المسؤولية، بل يعيد تعريفها: بدلاً من «كم كلّف العطب؟» يصبح السؤال «كم كانت قيمة الاشتراك في الاثني عشر شهراً السابقة؟». جواب هذا السؤال موجود في ملف، لا في بيان صحفي. ملف CrowdStrike في دليل btw.media يتابع الشركة ككيان، أمّا الحكم فيبقى في الوثيقة المنفَّذة التي لم تُقرأ بعد.