خبر: الهيئة الوطنية للأمن السيبراني تحذّر من ثغرة عالية الخطورة في HikCentral Access Control من هيكفيجن: تحديث أنظمة التحكم في الدخول
أصدر الفريق الوطني للاستجابة لحوادث الأمن السيبراني في الهيئة الوطنية للأمن السيبراني، بتاريخ 10 سبتمبر 2026، التنبيه رقم 2026-7835 بعنوان «تنبيه Hikvision» بمستوى خطورة عالٍ. يتعلق التنبيه بإعلان هيكفيجن عن ثغرة هيكفيجن HikCentral في منصة HikCentral Access Control لإدارة أنظمة التحكم في الدخول، وتوصي الهيئة بتحديث المنتجات المتأثرة وفق إرشادات الشركة المصنعة.
في اليوم نفسه نُشر سجل الثغرة CVE-2026-85545، وهو يحدد الإصدارات المتأثرة وطبيعة الخلل. نعرض هنا ما تقوله المصادر الرسمية فقط، ثم ما يعنيه ذلك للمنشآت السعودية التي تدير أبوابها وبواباتها عبر هذه المنصة.
الخلاصة السريعة
- تنبيه الهيئة الوطنية للأمن السيبراني رقم 2026-7835 صدر في 10 سبتمبر 2026 بمستوى خطورة عالٍ.
- سجل CVE-2026-85545 يذكر أن الإصدار V2.5.0 من HikCentral Access Control وما قبله متأثرة.
- الخلل: مستخدم مسجّل الدخول بصلاحيات منخفضة يستطيع استدعاء واجهات برمجية (API) لا يسمح بها دوره، وتقييمه 7.1 (عالٍ) وفق CVSS 3.1.
- توصية الهيئة: مراجعة الإرشادات الأمنية لهيكفيجن وتحديث المنتجات المتأثرة عبر الرابط الذي نشرته الشركة.
- المصادر التي اطلعنا عليها لا تذكر رقم الإصدار المعالَج، لذلك يُؤخذ الإصدار الصحيح من نشرة هيكفيجن نفسها.
ماذا قال تنبيه الهيئة وسجل الثغرة؟
يذكر تنبيه الهيئة، في نسختيه العربية والإنجليزية، أن هيكفيجن أصدرت تحديثات أمنية لمعالجة ثغرة في منتجاتها، ويحيل إلى نشرة الشركة الخاصة بثغرة HikCentral Access Control على موقع الدعم. ويعدد التنبيه القطاعات المستهدفة: الطاقة، والإعلام، والصناعة، والصحة، والنقل، والمياه والمرافق العامة، والمنشآت التجارية، والدفاع. ولا يحدد التنبيه أرقام الإصدارات ولا رقم الثغرة، فهذه التفاصيل في سجل الثغرة.
أما سجل CVE-2026-85545، المنشور في 10 سبتمبر 2026 والصادر عن هيكفيجن بصفتها الجهة المسجلة للثغرة، فيصفه OpenCVE كما يلي:
| البند | ما يذكره السجل |
|---|---|
| المنتج | HikCentral Access Control من هيكفيجن |
| الإصدارات المتأثرة | V2.5.0 وما قبله |
| طبيعة الخلل | مستخدم مصادق بصلاحيات منخفضة يستدعي واجهات API غير مصرح بها لدوره |
| التصنيف | CWE-284 (ضعف التحكم في الوصول) وCWE-285 (ضعف التفويض) |
| التقييم | CVSS 3.1: 7.1 (عالٍ)، عبر الشبكة، ويحتاج حساباً بصلاحيات منخفضة، دون تفاعل من المستخدم |
| الإصدار المعالَج | غير مذكور في المصادر التي اطلعنا عليها، ويُراجع في نشرة هيكفيجن |
معنى ذلك عملياً أن الخطر لا يأتي من شخص مجهول خارج النظام، بل من حساب موجود فعلاً على المنصة بصلاحيات محدودة، مثل حساب موظف استقبال أو مشغّل أمن. ويشير التقييم إلى أثر عالٍ على سرية البيانات وأثر منخفض على سلامتها.
ماذا يعني ذلك للسوق السعودي؟
تُستخدم HikCentral Access Control لإدارة وحدات التحكم في الأبواب وأجهزة التعرف على الوجه والبصمة والبوابات من شاشة واحدة، وتحتفظ عادة ببيانات الموظفين والزوار وسجلات الدخول والخروج وجداول الصلاحيات. والقطاعات التي ذكرها التنبيه، مثل الصحة والصناعة والطاقة والمنشآت التجارية، هي نفسها التي تعتمد على هذا النوع من الأنظمة في المداخل والمناطق المقيدة.
لم يذكر التنبيه أي حادثة في المملكة، والغرض منه الوقاية. لكن الثغرة تتعلق بالبرنامج المركزي لا بالأجهزة الطرفية، لذلك قد تبقى المنشأة معرضة حتى لو كانت أقفالها وأجهزتها تعمل بشكل طبيعي. ومن المفيد أن يوثّق مسؤول تقنية المعلومات تاريخ مراجعة التنبيه والإجراء الذي اتُّخذ بشأنه.
قراءة خبراء أزيدك
إذا كانت منشأتك تدير الأبواب أو البوابات عبر HikCentral Access Control، فابدأ بأربع خطوات. أولاً، تحقق من الإصدار المثبت عبر مسؤول النظام أو واجهة المنصة، وإذا كان V2.5.0 أو أقدم فالمنصة ضمن نطاق السجل. ثانياً، افتح نشرة هيكفيجن من الرابط الذي أحالت إليه الهيئة، وحدّث إلى الإصدار الذي تحدده الشركة، بعد نسخ احتياطي لقاعدة البيانات وتجربة التحديث في وقت لا يتعارض مع تشغيل المداخل. ثالثاً، إلى أن يكتمل التحديث، قيّد الوصول إلى خادم المنصة بحيث لا يُفتح من الإنترنت، وراجع حسابات المستخدمين واحذف غير المستخدم منها، وقلّص الصلاحيات المنخفضة إلى ما يحتاجه كل دور فعلاً. رابعاً، راقب سجلات المنصة وطلبات الواجهات البرمجية بحثاً عن نشاط غير معتاد من حسابات محدودة الصلاحية. هذه الخطوات المؤقتة ممارسة جيدة عامة وليست جزءاً من نص التنبيه.
توفّر أزيدك أجهزة هيكفيجن للتحكم في الدخول ضمن أنظمة الأمن والمراقبة، وتقدم خدمة البرمجة وتكامل الأنظمة لضبط الأجهزة وربطها بالمنصة بعد التحديث. وللاطلاع على خيارات القراءة والتعريف المتاحة راجع تقنيات التحكم في الدخول، ولأهمية الحصول على البرامج الثابتة من مصدرها الرسمي راجع خبر تحذير زد كيه تيكو من موقع غير مرخص. ولأي استفسار عن أجهزة هيكفيجن في موقعك تواصل مع فريق أزيدك.
المصادر
- تنبيه Hikvision، رقم 2026-7835، الهيئة الوطنية للأمن السيبراني، 10 سبتمبر 2026
- Hikvision Alert, No. 2026-7835 (بالإنجليزية)، الهيئة الوطنية للأمن السيبراني، 10 سبتمبر 2026
- CVE-2026-85545: HikCentral Access Control، OpenCVE (السجل صادر عن هيكفيجن)، 10 سبتمبر 2026
- Security Vulnerability in HikCentral Access Control، هيكفيجن، النشرة التي أحال إليها تنبيه الهيئة
