أبرز النقاط
- ثغرة أمنية مسجّلة برقم CVE-2026-78306 تؤثر على 16 طرازاً من طائرات DJI، بينها Mini 4 Pro و Mini 5 Pro و Neo و Avata 360.
- تسمح لشخص قريب ضمن مدى البلوتوث بإرسال أوامر للطائرة بدون أي كلمة سر أو اقتران، مثل تغيير إعدادات الواي فاي أو إعادة تشغيل الاتصال.
- الباحثون لم يثبتوا إمكانية السيطرة على الطائرة في الجو، ولا توجد حتى الآن تقارير عن استغلال فعلي للثغرة.
- الحل الوحيد المعتمد هو تحديث البرنامج الثابت (Firmware)، ولم تنشر DJI حتى تاريخ نشر هذا المقال بياناً رسمياً يحدد الإصدارات المُصلِحة.
- إذا كانت طائرتك ضمن القائمة: حدّثها الآن، وتجنّب الطيران في التجمعات المزدحمة حتى يتأكد الإصلاح.
اكتُشفت ثغرة أمنية في نظام البلوتوث لـ 16 طرازاً من طائرات DJI الاستهلاكية، تسمح لأي شخص قريب بإرسال أوامر للطائرة دون مصادقة. الخطر الحالي يقتصر على تعطيل الاتصال وتغيير إعدادات الواي فاي، والإجراء المطلوب من كل مالك في الوطن العربي هو التحقق من إصدار البرنامج الثابت وتحديثه فوراً.
ما هي ثغرة CVE-2026-78306 بالضبط؟
تستخدم طائرات DJI بروتوكولاً داخلياً اسمه DUML لتبادل الأوامر بين الطائرة والتطبيق. بحسب سجل الثغرة في قاعدة البيانات الأمريكية الوطنية للثغرات (NVD)، فإن هذا البروتوكول متاح عبر البلوتوث بدون أي تحقق من هوية المرسل. صُنّفت الثغرة ضمن فئة CWE-306 (غياب المصادقة)، ونُشرت في NVD بتاريخ 24 أغسطس 2026، ثم انتشرت إعلامياً في 21 سبتمبر 2026.
بحسب موقع Cybernews، فإن 3 أوامر فقط من أوامر DUML تتحقق من هوية الجهاز المتصل، بينما تقبل بقية الأوامر أي جهاز قريب. اكتشف الثغرة الباحثان عبد الرحمن يوسف والدكتور جوردان سمحي.
ماذا يستطيع المهاجم أن يفعل؟
وفقاً لسجل NVD وما نشره الباحثون، يستطيع شخص ضمن مدى البلوتوث (عادةً عشرات الأمتار):
- تغيير اسم شبكة الواي فاي الداخلية للطائرة وكلمة مرورها، وعنوان MAC، والقناة، ورمز الدولة.
- تعطيل الواي فاي أو البلوتوث أو إعادة تشغيلهما، وفصل الأجهزة المتصلة.
- إعادة ضبط الإعدادات اللاسلكية. ويذكر Cybernews أن بعض أوامر إعادة الضبط قد تمسح وسائط التخزين والسجلات.
هل يمكن خطف الطائرة في الجو؟ سجل NVD يشير إلى أن تغيير كلمة مرور الواي فاي قد يسمح للمهاجم بالدخول إلى الشبكة الداخلية والوصول المحتمل إلى واجهة التحكم بالطيران، لكن الباحثين أنفسهم قالوا إن السيطرة الكاملة في الجو احتمال نظري لم يُثبت عملياً. لذلك لا داعي للهلع، لكن هناك ما يكفي من الأسباب للتحديث فوراً.
الطرازات الـ 16 المتأثرة
الجدول التالي من سجل NVD، ويُظهر آخر إصدار برنامج ثابت متأثر لكل طراز. إذا كان إصدار طائرتك مساوياً لهذا الرقم أو أقدم، فهي متأثرة.
| الطراز | الإصدارات المتأثرة (حتى وتشمل) |
|---|---|
| DJI Neo | 01.00.0400 |
| DJI Neo 2 | 01.00.0500 |
| DJI Flip | 01.00.1200 |
| DJI Mini 2 | 01.07.0200 |
| DJI Mini 3 | 01.00.0500 |
| DJI Mini 3 Pro | 01.00.0900 |
| DJI Mini 4 Pro | 01.00.1100 |
| DJI Mini 5 Pro | 01.00.0600 |
| DJI Air 3 | 01.00.1600 |
| DJI Air 3S | 01.00.1400 |
| DJI Avata 2 | 01.00.0400 |
| DJI Avata 360 | 01.00.0300 |
| DJI Mavic 3 | 01.00.1400 |
| DJI Mavic 3 Classic | 01.00.0800 |
| DJI Mavic 3 Pro | 01.01.0700 |
| DJI Mavic 4 Pro | 01.00.0500 |
أرقام الإصدارات التي تُصلح الثغرة لكل طراز غير مؤكدة حتى الآن، لأن DJI لم تنشر نشرة أمنية رسمية تذكر هذه الثغرة. سنحدّث هذا المقال فور صدورها.
ماذا تفعل الآن؟ خطوات عملية
- اعرف إصدار طائرتك: افتح تطبيق DJI Fly وطائرتك متصلة، ثم ادخل الإعدادات واذهب إلى قسم «حول» (About) لرؤية إصدار البرنامج الثابت للطائرة. يمكنك أيضاً استخدام برنامج DJI Assistant 2 على الكمبيوتر.
- قارن الرقم بالجدول أعلاه. إذا كان مساوياً أو أقدم، فطائرتك متأثرة.
- حدّث فوراً إلى آخر إصدار متاح من التطبيق أو من DJI Assistant 2، وحدّث جهاز التحكم والبطاريات معها.
- قلّل التعرّض: أطفئ الطائرة عندما لا تستخدمها، وتجنّب تشغيلها قرب أشخاص مجهولين لفترات طويلة في الأماكن المزدحمة، مثل الحفلات والأعراس والفعاليات العامة.
- إن لاحظت سلوكاً غريباً، مثل تغيّر اسم شبكة الواي فاي أو انقطاع متكرر، فأوقف الطيران وتواصل مع الدعم الفني لـ DJI أو الوكيل المعتمد في بلدك.
ماذا يعني هذا لطياري الدرون في العالم العربي؟
جميع الطرازات المذكورة تُباع في الخليج والأردن ومصر والمغرب العربي، وأكثرها انتشاراً لدينا Mini 4 Pro و Mini 5 Pro و Neo و Air 3S. وأكثر الفئات عرضة للخطر هم مصوّرو الأعراس والفعاليات وصنّاع المحتوى، لأنهم يطيرون عادةً قرب جمهور كبير، أي ضمن مدى البلوتوث لعشرات الأشخاص.
وحتى في الدول التي يوقف فيها الطيران الترفيهي حالياً، مثل الكويت والبحرين، ننصح بتحديث الطائرة قبل أول طيران بعد رفع القيود. يمكنك متابعة آخر الأوضاع عبر صفحة قوانين الدرونز في الدول العربية.
الأسئلة الشائعة
هل طائرتي من DJI متأثرة بثغرة البلوتوث؟
إذا كانت طائرتك أحد الطرازات الـ 16 في الجدول أعلاه، وإصدار برنامجها الثابت مساوٍ للرقم المذكور أو أقدم منه، فهي متأثرة. تحقق من الإصدار في تطبيق DJI Fly من قسم «حول».
هل يستطيع أحد السيطرة على طائرتي وهي في الجو؟
لم يثبت ذلك عملياً. ما ثبت هو تغيير إعدادات الواي فاي وتعطيل الاتصال. سجل الثغرة يذكر أن الوصول إلى واجهة التحكم بالطيران «محتمل»، لكن الباحثين لم يعرضوا سيطرة كاملة.
هل أصدرت DJI تحديثاً لإصلاح الثغرة؟
سجل NVD يقول إن الإصلاح يتطلب تحديث برنامج ثابت من الشركة، لكن حتى تاريخ نشر هذا المقال لم نجد نشرة أمنية من DJI تحدد الإصدارات المُصلِحة. أفضل إجراء الآن هو تثبيت آخر تحديث متاح.
هل تم استغلال الثغرة فعلياً ضد مستخدمين؟
لا توجد تقارير عن استغلال فعلي حتى الآن، والثغرة غير مدرجة في قائمة الثغرات المُستغلة لدى وكالة CISA الأمريكية بحسب Cybernews.
هل يجب أن أعطّل البلوتوث في الطائرة؟
البلوتوث يُستخدم في بعض الطرازات لنقل الملفات السريع والاتصال الأولي، ولا يمكن تعطيله في كل الطرازات. الأهم هو التحديث، وإطفاء الطائرة عند عدم الاستخدام، وتجنّب الأماكن المزدحمة قدر الإمكان.
هل تؤثر الثغرة على جودة التصوير أو الطيران العادي؟
لا. الثغرة لا تؤثر على أداء الطائرة ما لم يستغلها شخص قريب منك. الطيران والتصوير يعملان بشكل طبيعي.
المصادر
- سجل الثغرة CVE-2026-78306 في قاعدة NVD الأمريكية (24 أغسطس 2026)
- Cybernews: Severe Bluetooth flaw in DJI drones (21 سبتمبر 2026)
- SentinelOne Vulnerability Database: CVE-2026-78306 (28 أغسطس 2026)
صورة الغلاف: صورة DJI Mavic Mini بعدسة GiovanniPen، رخصة CC BY-SA 4.0، عبر ويكيميديا كومنز
