عطل CrowdStrike يُوقف الرحلات ويعطل أعمال الشركات حول العالم

السبب الجذري

في 19 يوليو 2024، أدّى تحديث روتيني للإعدادات في برنامج تشغيل نواة المستشعر الخاص بـ CrowdStrike Falcon إلى أكبر اضطراب في تقنية المعلومات على الإطلاق. فقد أدخل التحديث، الذي أُطلق في الساعة 04:09 بتوقيت UTC، خطأً منطقيًا في ملف التشغيل CSAgent.sys تسبّب في ظهور الشاشة الزرقاء (BSOD) فور الإقلاع على أنظمة Windows 10 و11. وأكدت CrowdStrike لاحقًا أن التحديث اجتاز خطوط التحقق الآلية لأن مسار الكود المعطّل لم يكن يُنفَّذ إلا تحت ظروف ذاكرة محددة لم تكن مشمولة في مجموعة الاختبارات. وخلال 90 دقيقة فقط، أصبح نحو 8.5 مليون جهاز يعمل بنظام Windows غير صالح للعمل حول العالم.

التأثير على قطاع الطيران

كانت شركات الطيران من أكثر المتضرّرين. فأوقفت Delta Air Lines أسطولها بالكامل لأكثر من 12 ساعة، ملغيةً 4,700 رحلة — أكثر من أي شركة طيران أخرى. وعلّقت United Airlines رحلات المغادرة حول العالم، ملغيةً 3,200 رحلة. بينما سجّلت American Airlines 1,800 رحلة ملغاة. وأصدرت FAA أمر إيقاف لجميع الرحلات الأمريكية في الساعة 06:15 بتوقيت EDT، استمرّ حتى الساعة 09:45 بتوقيت EDT، غير أن التأخيرات امتدّت عبر عطلة نهاية الأسبوع. وشهدت مطارات London Heathrow وSingapore Changi وTokyo Narita فوضى عارمة فيصالاتها بعد تعطل أجهزة تسجيل السفر، وماسحات الأمتعة، وأنظمة جدولة الطواقم التي كانت تعمل على Falcon. وبحلول الأحد 21 يوليو، تجاوز عدد الرحلات الملغاة حول العالم 15,000 رحلة وفقًا لشركة Cirium لتحليلات الطيران.

اضطراب أوسع في الأعمال

لم يقتصر العطل على قطاع الطيران. فتباطأت عمليات فروع JPMorgan Chase بعد تعطل أجهزة الموظفين. وتوقّف خدمة تجميع الأخبار التابعة لبورصة London Stock Exchange — وهي مصدر حيوي لبيانات السوق — لمدة ثلاث ساعات. ولم تتمكن صيدليات كبرى في المملكة المتحدة، بما في ذلك Boots وLloydsPharmacy، من معالجة الوصفات الطبية. وفي القطاع الصحي، أعلنت ثلاثة مستشفيات ألمانية "حادثًا جسيمًا" وعلّقت العمليات الجراحية غير الطارئة. وأبلغت خدمات الطوارئ في عدة ولايات أمريكية — بما في ذلك نظام 911 في ألاسكا — عن تأخيرات في معالجة المكالمات بسبب تعطل أطراف عمل مشغّلي الاتصالات. كما اضطرت شبكة الجرائم المالية بوزارة الخزانة الأمريكية (FinCEN) إلى تمديد المواعيد النهائية لتقديم تقارير الأنشطة المشبوهة نتيجة تعطل أجهزة الموظفين.

استجابة CrowdStrike ومعالجتها للأزمة

أصدر الرئيس التنفيذي لـ CrowdStrike جورج كورتز بيانًا عامًا في الساعة 08:45 بتوقيت UTC يعترف فيه بالتحديث المعطّل. وسحبت الشركة ملف القناة (C-00000291.sys) خلال 30 دقيقة من الاكتشاف، لكن الضرر كان قد وقع: فقد تطلبت الأجهزة المتأثرة تدخلاً يدويًا — الإقلاع في الوضع الآمن، وحذف ملف التشغيل، وإعادة التشغيل. وبالنسبة للمؤسسات التي تدير أجهزتها عن بُعد، كان بإمكان أداة RTR (الاستجابة الفورية) من CrowdStrike أتمتة عملية الإزالة على الأجهزة القليلة التي لا تزال تعمل. غير أنه بالنسبة للأجهزة المشفرة بتقنية BitLocker، تطلّب الأمر إدخال مفتاح الاسترداد، مما أضاف ساعات إلى عملية الحل. ونشرت CrowdStrike تحديثًا ثانيًا في 20 يوليو منع تحميل برنامج التشغيل المعطّل، لكنه لم يعكس حالة الشاشة الزرقاء على الأجهزة التي تعطلت مسبقًا.

تداعيات على أمن نقاط النهاية

كشف هذا الحادث عن خطر معماري جوهري: وكلاء الأمان على مستوى النواة الذين يتمتعون بصلاحيات التحديث التلقائي. وتمتلك CrowdStrike نسبة 17.5% من السوق العالمية لاكتشاف نقاط النهاية والاستجابة لها (EDR)، وقد أجبر العطل المؤسسات الكبرى على إعادة النظر في اعتمادها على مورد واحد. وفي الأسبوع التالي، أبلغت Microsoft عن زيادة بنسبة 30% في الاستفسارات حول خدمتها Defender for Endpoint، التي تستخدم نواة أمان افتراضية (VBS) لتقليل سطح الهجوم الناتج عن تحديثات برامج التشغيل. وأعلن المنظمون في الاتحاد الأوروبي والمملكة المتحدة عن تحقيقات رسمية في "مرونة سلسلة توريد التحديثات". وتعهدت CrowdStrike بتنفيذ اختبار تدريجي تدريجي، وطرح التحديثات على مراحل، وأداة جديدة للتحقق من ملفات القنوات — لكن هذا الحدث سرّع بالفعل النقاشات الداخلية في شركات قائمة Fortune 500 حول اعتماد بنى استشعار متعددة الطبقات وأقل توغلًا، لا تنغرس مباشرة في نواة Windows.