Check Point تكشف ثغرات في Claude Code عبر ملفات إعداد المشروع، وAnthropic تصلحها في الإصدار 2.0.65

كشف باحثو Check Point Research عن ثغرات في Claude Code، أداة البرمجة بالذكاء الاصطناعي من Anthropic، من بينها الثغرة المسجلة CVE-2026-21852. وبحسب التقرير، كانت هذه الثغرات تسمح لمهاجم بسرقة مفتاح الـ API الخاص بالمستخدم، وبتنفيذ كود على جهازه عن بُعد، وهو ما يُعرف بـ RCE (Remote Code Execution).

وأصلحت Anthropic هذه الثغرات كلها في الإصدار 2.0.65 من Claude Code وما بعده.

ويكمن مصدر الخطر في ملفات الإعداد الموجودة داخل المشروع نفسه، ومنها ملفات تعريف خوادم MCP. وMCP بروتوكول يتيح لأدوات الذكاء الاصطناعي الاتصال بأدوات وخدمات خارجية. فإذا احتوى مستودع على إعدادات خبيثة، قد تتصرف الأداة وفقها بمجرد فتح المشروع، دون أن ينتبه المستخدم.

وهذا يغيّر طبيعة خطوة كانت تبدو بسيطة. ففتح مستودع من الإنترنت كان يعني في الغالب قراءة ملفات نصية. أما مع أداة تملك صلاحية تشغيل الأوامر والوصول إلى المفاتيح، فإن ملفات الإعداد داخل المستودع تصبح جزءًا مما يُنفَّذ، لا مجرد ما يُقرأ.

ويأتي ذلك ضمن نمط أوسع رصدته تقارير سابقة، منها تقرير The Hacker News في أبريل 2026 عن ثغرة في تصميم MCP. فكلما زادت صلاحيات الـ agents على الأجهزة والأسرار، زادت أهمية التعامل مع ما تقرؤه من ملفات على أنه مدخلات غير موثوقة.

وبالنسبة للفرق التي تعتمد على Claude Code، يعني ذلك أن رقم الإصدار المثبت على كل جهاز صار معلومة أمنية. فالحماية من هذه الثغرات مرتبطة بالإصدار 2.0.65 أو أحدث، وأي جهاز يعمل بإصدار أقدم يبقى معرضًا لها.