التفاصيل التقنية: لا تقوم أداة Config Connector بإجراء أي فحص للصلاحيات عندما يحاول مستخدم في Kubernetes إدارة موارد GCP. هذا يسمح لأي حساب خدمة تابع للأداة بصلاحيات على مستوى المؤسسة بـ تجاوز نظام إدارة الهوية والوصول (IAM) الخاص بجوجل، والارتقاء إلى أعلى مستوى صلاحيات (roles/owner) على كامل موارد المؤسسة في Google Cloud . يصنف أوريلي الثغرة بأنها CVSS 10.0، وهو أعلى تصنيف للخطورة، لأن أي مهاجم لديه وصول أساسي إلى Kubernetes يمكنه السيطرة الكاملة على البيئة السحابية للمؤسسة وكل البيانات المخزنة فيها .

ردود فعل جوجل المتناقضة

قصة رد فعل جوجل هي قصة تناقضات صارخة.

المرحلة الأولى: 'صيد ثمين!' أبلغ أوريلي جوجل بالثغرة في 8 مارس 2026 . في 27 مارس، قبل مهندس أمني من جوجل التقرير وقال له 'صيد ثمين!' . وأكد المهندس أنه سجل الثغرة لفريق المنتج المعني، وكتب: 'سنعمل مع الفريق لضمان معالجة المشكلة. سنخبرك عند حلها' . منحت جوجل الثغرة أولوية P1 (الأعلى) وخطورة S1 (حرجة، تؤثر على نسبة كبيرة من المستخدمين) .

المرحلة الثانية: 'يعمل كما هو مقصود' في 7 أبريل – بعد 11 يوماً فقط – تلقى أوريلي رسالة من بوت أمني لجوجل تلغي القرار السابق . خلصت لجنة برنامج مكافآت الثغرات السحابية إلى أن 'التأثير الأمني لهذه المشكلة لا يستوفي معايير التأهل للحصول على مكافأة' وأن البرنامج 'يعمل كما هو مقصود' . رفضت جوجل دفع أي مبلغ.

التناقض: حتى تاريخ تقرير The Register في 18 يونيو، كان نظام تتبع الثغرات الداخلي لجوجل لا يزال يُظهر ConfigConfusion كـ P1/S1 بحالة 'قيد المعالجة (مقبول)' .

وضع الثغرة حالياً

حتى منتصف يونيو 2026 – أي بعد أكثر من 3 أشهر من الإبلاغ الأولي – لا تزال الثغرة دون تصليح . نشر أوريلي مقالة بحثية كاملة بالتفاصيل التقنية على موقعه الشخصي .

تغييرات جوجل في برامج المكافآت لعام 2026: السياق الأوسع

في أوائل مايو 2026، أجرت جوجل إصلاحاً شاملاً لبرامج مكافآت الثغرات (VRP) الخاصة بكروم وأندرويد، مشيرة صراحة إلى ارتفاع استخدام أدوات الذكاء الاصطناعي في اكتشاف الثغرات .

التغييرات الرئيسية:

• انخفاض مكافآت كروم في معظم الفئات. بررت جوجل ذلك بأن أدوات الذكاء الاصطناعي تنتج بسهولة كميات كبيرة من التقارير منخفضة الجودة، لذا أعادت هيكلة المكافآت للتركيز على الثغرات الأكثر تأثيراً والتي يصعب أتمتتها .
• ارتفاع مكافآت أندرويد القصوى – حيث يصل الآن مكافأة اكتشاف ثغرة 'صفر نقرة' كاملة السلسلة في شريحة Titan M2 مع إمكانية الثبات إلى 1.5 مليون دولار .
• تضاعفت إصدارات CVEs لـكروم أربع مرات مقارنة بالعام الماضي (من 52 في بداية مايو 2025 إلى 252 في بداية مايو 2026)، وهو ما استشهدت به جوجل كدليل على طفرة التقارير المولدة بالذكاء الاصطناعي .

يرى المنتقدون أن هذا يخلق تبايناً محرجاً: جوجل تقلل مكافآت كروم بذريعة 'ضوضاء الذكاء الاصطناعي' بينما ترفض في الوقت نفسه مكافأة باحث بشري عن ثغرة خطيرة تم الإبلاغ عنها بدقة وتصنيفها 10/10، مدعية أنها 'تعمل كما هو مقصود' – وهو قرار وصفه الكثيرون في مجتمع الأمن بأنه قصير النظر ويضر بثقة الباحثين .

التفاصيل التقنية: لا تقوم أداة Config Connector بإجراء أي فحص للصلاحيات عندما يحاول مستخدم في Kubernetes إدارة موارد GCP. هذا يسمح لأي حساب خدمة تابع للأداة بصلاحيات على مستوى المؤسسة بـ تجاوز نظام إدارة الهوية والوصول (IAM) الخاص بجوجل، والارتقاء إلى أعلى مستوى صلاحيات (roles/owner) على كامل موارد المؤسسة في Google Cloud . يصنف أوريلي الثغرة بأنها CVSS 10.0، وهو أعلى تصنيف للخطورة، لأن أي مهاجم لديه وصول أساسي إلى Kubernetes يمكنه السيطرة الكاملة على البيئة السحابية للمؤسسة وكل البيانات المخزنة فيها .

ردود فعل جوجل المتناقضة

قصة رد فعل جوجل هي قصة تناقضات صارخة.

المرحلة الأولى: 'صيد ثمين!' أبلغ أوريلي جوجل بالثغرة في 8 مارس 2026 . في 27 مارس، قبل مهندس أمني من جوجل التقرير وقال له 'صيد ثمين!' . وأكد المهندس أنه سجل الثغرة لفريق المنتج المعني، وكتب: 'سنعمل مع الفريق لضمان معالجة المشكلة. سنخبرك عند حلها' . منحت جوجل الثغرة أولوية P1 (الأعلى) وخطورة S1 (حرجة، تؤثر على نسبة كبيرة من المستخدمين) .

المرحلة الثانية: 'يعمل كما هو مقصود' في 7 أبريل – بعد 11 يوماً فقط – تلقى أوريلي رسالة من بوت أمني لجوجل تلغي القرار السابق . خلصت لجنة برنامج مكافآت الثغرات السحابية إلى أن 'التأثير الأمني لهذه المشكلة لا يستوفي معايير التأهل للحصول على مكافأة' وأن البرنامج 'يعمل كما هو مقصود' . رفضت جوجل دفع أي مبلغ.

التناقض: حتى تاريخ تقرير The Register في 18 يونيو، كان نظام تتبع الثغرات الداخلي لجوجل لا يزال يُظهر ConfigConfusion كـ P1/S1 بحالة 'قيد المعالجة (مقبول)' .

وضع الثغرة حالياً

حتى منتصف يونيو 2026 – أي بعد أكثر من 3 أشهر من الإبلاغ الأولي – لا تزال الثغرة دون تصليح . نشر أوريلي مقالة بحثية كاملة بالتفاصيل التقنية على موقعه الشخصي .

تغييرات جوجل في برامج المكافآت لعام 2026: السياق الأوسع

في أوائل مايو 2026، أجرت جوجل إصلاحاً شاملاً لبرامج مكافآت الثغرات (VRP) الخاصة بكروم وأندرويد، مشيرة صراحة إلى ارتفاع استخدام أدوات الذكاء الاصطناعي في اكتشاف الثغرات .

التغييرات الرئيسية:

• انخفاض مكافآت كروم في معظم الفئات. بررت جوجل ذلك بأن أدوات الذكاء الاصطناعي تنتج بسهولة كميات كبيرة من التقارير منخفضة الجودة، لذا أعادت هيكلة المكافآت للتركيز على الثغرات الأكثر تأثيراً والتي يصعب أتمتتها .
• ارتفاع مكافآت أندرويد القصوى – حيث يصل الآن مكافأة اكتشاف ثغرة 'صفر نقرة' كاملة السلسلة في شريحة Titan M2 مع إمكانية الثبات إلى 1.5 مليون دولار .
• تضاعفت إصدارات CVEs لـكروم أربع مرات مقارنة بالعام الماضي (من 52 في بداية مايو 2025 إلى 252 في بداية مايو 2026)، وهو ما استشهدت به جوجل كدليل على طفرة التقارير المولدة بالذكاء الاصطناعي .

يرى المنتقدون أن هذا يخلق تبايناً محرجاً: جوجل تقلل مكافآت كروم بذريعة 'ضوضاء الذكاء الاصطناعي' بينما ترفض في الوقت نفسه مكافأة باحث بشري عن ثغرة خطيرة تم الإبلاغ عنها بدقة وتصنيفها 10/10، مدعية أنها 'تعمل كما هو مقصود' – وهو قرار وصفه الكثيرون في مجتمع الأمن بأنه قصير النظر ويضر بثقة الباحثين .