ثغرة بخاصية Hide My Email من آبل كشفت عناوين البريد الحقيقية عبر سجلات الخوادم

نظرة عامة

ما هي خاصية Hide My Email ولماذا هذا الخلل يقوّض وعدها الأساسي؟

Hide My Email خاصية تتيح لمستخدمي آبل توليد عناوين بريد إلكتروني وهمية عشوائية (Alias) لاستخدامها عند التسجيل بمواقع أو خدمات خارجية، بحيث تُعاد توجيه أي رسالة تصل لذلك العنوان الوهمي تلقائياً إلى صندوق البريد الحقيقي للمستخدم — دون أن تعرف الجهة الخارجية العنوان الفعلي إطلاقاً. الهدف الأساسي من الخاصية هو قطع الصلة الظاهرة بين هوية المستخدم الحقيقية والخدمات التي يشترك بها.

هذا الخلل تحديداً يضرب صميم هذا الوعد: بدلاً من أن يبقى العنوان الحقيقي مخفياً بكل الأحوال، كان هناك سيناريو واحد يكشفه بالكامل.

آلية التسريب: رفض رسالة كافٍ لكشف الهوية

المشكلة، بحسب وصف الباحث، بسيطة بشكل مفاجئ: مجرد إرسال رسالة لعنوان Hide My Email الخاص بالضحية، ثم رفض تلك الرسالة تلقائياً باعتبارها بريداً مزعجاً (Spam)، كان يكفي لجعل عنوان البريد الحقيقي للمستخدم يظهر بسجلات نقل البريد (Mail Transfer Logs).

بمعنى آخر، لا يحتاج المهاجم لاختراق أي حساب أو استغلال ثغرة تقنية معقدة — يكفيه إرسال رسالة عادية للعنوان الوهمي، بطريقة تُصنَّف تلقائياً كبريد مزعج من قِبَل أنظمة الفلترة، ليظهر العنوان الحقيقي للضحية بشكل غير مباشر بسجلات خوادم البريد. هذا يعني أن الخلل كان بجانب الخادم بالكامل (Server-Side) — لا علاقة له بإعدادات جهاز المستخدم أو تطبيقاته.

نطاق الأثر والجدول الزمني

الجدول الزمني يكشف صعوبة إغلاق هذا النوع من الثغرات بشكل نهائي من المحاولة الأولى:

• 13 حزيران/يونيو 2025: الباحث Tyler Murphy يبلّغ آبل رسمياً بالمشكلة.
• آذار/مارس 2026: محاولة تصحيح أولى من آبل — لم تُغلق المشكلة بالكامل.
• 30 حزيران/يونيو 2026: محاولة تصحيح ثانية — فشلت أيضاً بإغلاق الثغرة بالكامل.
• 3 تموز/يوليو 2026: التصحيح الفعلي والنهائي يُنشَر.

هذا يعني أن الثغرة بقيت قائمة (بأشكال متفاوتة) لأكثر من عام كامل منذ الإبلاغ الأولي عنها، رغم محاولتي تصحيح سابقتين — مؤشر على أن طبيعة الخلل (تفاعل غير متوقَّع بين آلية توجيه البريد وآلية رفض البريد المزعج) لم تكن بسيطة الإصلاح كما بدت للوهلة الأولى.

نطاق التأثير المحدَّد: العناوين الحقيقية المرتبطة بعناوين Hide My Email التي أُنشئت قبل 7 تموز/يوليو 2026 قد تكون تسرّبت فعلياً إذا تلقّت رسائل غير ضارة رُفضت لاحقاً كبريد مزعج. لم تُوثَّق آبل أو الباحث معدل تكرار هذا التسريب فعلياً على نطاق واسع.

لماذا هذا النوع من الثغرات يستحق الانتباه رغم بساطته الظاهرية؟

هذه الحادثة مثال جيد على فئة شائعة من ثغرات الخصوصية: ليست ثغرة تنفيذ أوامر أو اختراق مباشر، بل تسريب معلومات عبر مسار جانبي غير متوقَّع (سجلات تشخيصية داخلية لم تُصمَّم أصلاً لتكون عامة، لكنها انتهت بكشف معلومة كان يُفترَض أن تبقى مخفية بالكامل). هذا النمط شائع بخصائص “إخفاء الهوية” أو “التوكيل” (Proxying) بشكل عام: أي مسار فرعي غير مدروس بعناية (رسائل الخطأ، سجلات التشخيص، رسائل الرفض الآلية) قد يصبح قناة تسريب غير مقصودة تُبطل الحماية الأساسية للخاصية بالكامل.

ماذا يعني هذا لمستخدمي Hide My Email؟

• إذا أنشأت عنوان Hide My Email قبل 7 تموز/يوليو 2026، هناك احتمال نظري أن يكون عنوانك الحقيقي قد تسرّب سابقاً عبر هذا المسار، خصوصاً إذا كان العنوان قد تلقّى رسائل صُنِّفت كبريد مزعج ورُفضت.
• لا يوجد إجراء تقني يمكن للمستخدم اتخاذه بأثر رجعي لمعرفة ما إذا كان عنوانه قد تسرَّب فعلياً — الاعتماد الوحيد هو تصحيح آبل النهائي بتاريخ 3 تموز/يوليو 2026 لمنع تكرار المشكلة مستقبلاً.
• للاستخدامات الحساسة بشكل خاص (تسجيل بخدمات لا تريد ربطها إطلاقاً بهويتك الحقيقية)، يُفضَّل إنشاء عنوان Hide My Email جديد بعد تاريخ التصحيح، بدلاً من إعادة استخدام عنوان قديم أُنشئ قبله.

ملاحظات

• الخبر الأصلي كتبه الصحفي Ravie Lakshmanan على The Hacker News بتاريخ 21 تموز/يوليو 2026.
• لم يُخصَّص رقم CVE رسمي لهذا الخلل حتى تاريخ النشر، رغم طبيعته كثغرة خصوصية حقيقية أثّرت على خاصية مستخدَمة على نطاق واسع بمنظومة آبل.

المصدر

المقال الأصلي: Apple Fixes Hide My Email Bug That Exposed Real Addresses in Mail Logs