ثغرة GhostMap: تطبيق Android بلا كود ولا صلاحيات يمكن أن يدخل الهاتف في boot loop
نشر باحثو Bitdefender Labs تفاصيل ثغرة في Android أطلقوا عليها اسم GhostMap، تسمح لتطبيق فارغ لا يحتوي على أي كود ولا يطلب أي صلاحية بأن يُدخل الهاتف في boot loop، أي حلقة إعادة تشغيل لا تنتهي. وتمس الثغرة كل إصدارات Android من 10 فما فوق، وقد اختبرها الباحثون على هاتف Pixel 10 يعمل بـ Android 17 وبتحديث أمني صادر في 5 أغسطس 2026. ولم يُخصَّص للثغرة رقم CVE حتى الآن.
وأصل المشكلة أن مكتبتين داخل النظام تقرآن ملف الـ APK بطريقتين مختلفتين. والـ APK في جوهره ملف مضغوط من نوع ZIP، يضم مدخلات بعضها مضغوط وبعضها مخزّن كما هو. فمكتبة libziparchive لا تتحقق من الحجم إلا في المدخلات المخزّنة. أما مكتبة libandroidfw فتفتح في الذاكرة أي مدخل غير مضغوط بطريقة deflate، بالحجم المكتوب فيه، دون أن تتأكد من أن هذا الحجم صحيح.
ومن هذا الاختلاف تنشأ الثغرة. إذ يضع صانع الملف مدخلًا بطريقة ضغط غير معتادة، ويكتب أن حجمه أكبر بكثير من حجمه الحقيقي. فتتجاوزه المكتبة الأولى لأنه ليس مدخلًا مخزّنًا، وتفتحه الثانية بالحجم المزيف. وحين تحاول أي عملية قراءة ما بعد النهاية الحقيقية للملف، ينهيها النظام.
وإذا كانت العملية التي تقرأ الملف خدمة أساسية مثل system_server أثناء إقلاع الهاتف، يدخل الجهاز في boot loop. ولا يحل الـ safe mode ولا إعادة التشغيل المشكلة. ويكفي تثبيت التطبيق لحدوث ذلك، دون أن يفتحه المستخدم أو يمنحه أي صلاحية.
والجانب الأهم في القصة أن الإصلاح غير متاح بعد. فقد أغلقت Google البلاغ الأول بتصنيف Won’t Fix، وقالت عن البلاغ الثاني إنه لن يُصلح ضمن تحديث أمني، وأحالته إلى فريق ينظر في إدراجه بإصدار لاحق من النظام. أما تقدير خطورة الثغرة فهو قراءة Bitdefender نفسها، وليس تصنيفًا صادرًا عن Google.
ويقارن التقرير GhostMap بثغرة أقدم وأضعف منها مسجلة برقم CVE-2016-6724، ما يشير إلى أن أخطاء قراءة ملفات الـ APK ليست جديدة على النظام.
وتعني هذه الصورة أن الحماية لا تأتي من تحديث الهاتف هذه المرة، بل من مصدر الملف. وفي المنطقة العربية، حيث تنتشر تطبيقات تُوزَّع عبر روابط مباشرة خارج Google Play، سواء لخدمات محلية أو نسخ معدلة من تطبيقات معروفة، يصبح تثبيت ملف APK من مصدر غير موثوق خطرًا قد يعطل الجهاز كله لا تطبيقًا واحدًا. كما يضع ذلك مسؤولية إضافية على الشركات التي توزع تطبيقاتها خارج المتجر، لأن مستخدميها اعتادوا تثبيت ملفات من روابط.
ولم يذكر التقرير عدد الأجهزة المتأثرة فعليًا، ولا أي حالة استغلال مرصودة.