ثغرة في أمازون كيو تهدد بيانات مطوري السحابة

ثغرة أمازون كيو سمحت بتشغيل أوامر خبيثة وسرقة بيانات اعتماد سحابية بمجرد فتح مستودع موثوق، قبل أن تعلن أمازون إصلاحها.

ما هي ثغرة أمازون كيو التي أقلقت المطورين؟

كشفت أمازون عن ثغرة أمنية عالية الخطورة في Amazon Q Developer، المساعد البرمجي المعتمد على الذكاء الاصطناعي. وتحمل الثغرة المعرف CVE-2026-12957 مع درجة خطورة 8.5 من 10، ما يجعلها من الحالات التي تستحق تحديثاً فورياً.

المشكلة ظهرت في طريقة تعامل الأداة مع خوادم Model Context Protocol أو MCP، وهي آلية تسمح للمساعد بتشغيل عمليات محلية للوصول إلى قواعد بيانات وواجهات API وأدوات البناء. ووفق ما رصدته تيكبامين، فإن هذا النوع من التكامل يمنح مرونة كبيرة، لكنه قد يتحول إلى نقطة هجوم خطيرة إذا أسيء استخدامه.

كيف نجح الهجوم عبر ملف بسيط داخل المستودع؟

سيناريو الهجوم كان قصيراً ومباشراً: ينسخ المطور المستودع، ثم يفتحه داخل بيئة العمل، وبعدها يمنح الثقة للمجلد عند ظهور التنبيه. من هنا كانت الأداة تقرأ ملف .amazonq/mcp.json وتشغل الخوادم المحددة بداخله تلقائياً.

لماذا يعد ذلك خطيراً؟

لأن العمليات التي يتم تشغيلها ترث متغيرات البيئة الخاصة بالمطور نفسه. وهذا قد يشمل مفاتيح AWS، ورموز CLI السحابية، وأسرار API، وحتى مقابس SSH النشطة.

• تشغيل أوامر محلية من داخل المستودع
• الوصول إلى جلسة المطور السحابية الحالية
• إرسال بيانات الاعتماد إلى خادم خارجي
• التحرك لاحقاً نحو خدمات داخلية أو بيئات إنتاج

وفي نموذج إثبات الفكرة، أمكن تشغيل أمر لفحص هوية جلسة AWS النشطة ثم إرسال النتائج إلى جهة خارجية. الخطر هنا لا يتوقف عند كشف الهوية، بل يمتد إلى ما تسمح به صلاحيات الحساب من إنشاء أبواب خلفية أو الوصول إلى موارد حساسة.

ما الأجهزة والبرامج المتأثرة بثغرة أمازون كيو؟

الثغرة لا ترتبط بمحرر واحد فقط، بل بالمكوّن التشغيلي Language Servers for AWS الذي تعتمد عليه إضافة Amazon Q عبر عدة بيئات تطوير شهيرة. وهذا يعني أن نطاق التأثر كان أوسع مما قد يتوقعه كثير من المطورين.

• فيجوال ستوديو كود
• JetBrains
• Eclipse
• Visual Studio

كما أُصلحت مشكلة ثانية تحمل المعرف CVE-2026-12958، وتتعلق بغياب فحص مناسب للروابط الرمزية، ما قد يفتح الباب أمام الكتابة على ملفات خارج حدود مساحة العمل الموثوقة.

كيف تحمي نفسك الآن من هذه الثغرة الأمنية؟

الخطوة الأهم هي التحديث فوراً. تم إصلاح CVE-2026-12957 في إصدار Language Servers for AWS 1.65.0، لكن التوصية الحالية هي الانتقال إلى الإصدار 1.69.0 للحصول على الإصلاحات الأحدث.

إجراءات سريعة للمطورين

• تحديث إضافة Amazon Q Developer إلى أحدث إصدار متاح
• إعادة تشغيل بيئة التطوير لسحب آخر مكونات الخادم
• عدم الوثوق بأي مستودع مجهول قبل مراجعة ملفاته المخفية
• فحص ملفات إعداد MCP داخل المشروع قبل تشغيلها

حتى الآن لا توجد مؤشرات معلنة على استغلال واسع لهذه الثغرة، لكن ثغرة أمازون كيو تذكّر المطورين بأن الثقة في المستودعات وأدوات الذكاء الاصطناعي يجب أن تكون محسوبة بدقة، خاصة عند التعامل مع حسابات سحابية حساسة.