أطلقت شركة F5 حزمة ترقيعات أمنية طارئة وخارج الجدول المعتاد (Out-of-band) لمعالجة عدد من الثغرات الأمنية المكتشفة في خادم الويب الشهير NGINX، من بينها ثلاث ثغرات ذات خطورة حرجة تمنح المهاجمين إمكانية تنفيذ تعليمات برمجية ضارة على الأنظمة المصابة في ظل ظروف إعداد معينة.
وتتمركز الثغرات الحرجة الثلاثة في وحدة ngx_http_v3_module وتحمل الرموز (CVE-2026-15176) و(CVE-2026-97205)، إضافة إلى ثغرة أخرى مرتبطة بتوجيه الخرائط NGINX map directive تحت الرمز (CVE-2026-93479). وتشير تفاصيل التقرير التقني إلى أن المهاجمين غير المصرح لهم والقادرين على الوصول للشبكة يمكنهم استغلال هذه الثغرات لتنفيذ هجمات حجب الخدمة (DoS) أو تحقيق تنفيذ شيفرات برمجية في عمليات خادم NGINX العاملة، خصوصاً على الأنظمة ذات التكوينات غير الافتراضية أو التي تكون فيها تقنيات الحماية مثل تخطي عشوائية تخطيط عنوان المساحة (ASLR) معطلة.
المنتجات المتأثرة وخيارات التخفيف المؤقت
تشمل قائمة البرمجيات المتأثرة بهذه الثغرات عدة إصدارات ومنتجات رئيسية تابعة للشركة، تتضمن NGINX Plus وNGINX Open Source وNGINX Ingress Controller وNGINX Gateway Fabric إضافة إلى NGINX Instance Manager. وفي حال تعذر على فرق الأمان ومديري الأنظمة تطبيق التحديثات البرمجية فوراً، وفرت الشركة بدائل مؤقتة للتخفيف من حدة المخاطر:
- ثغرة CVE-2026-15176: يمكن تخفيفها عبر تجنب استخدام توجيه
alias داخل كتلة الموقع (location block) أو الاستغناء عن متغير $request_filename.
- ثغرة CVE-2026-97205: يتم تخفيفها عبر تعطيل الإدخال والإخراج غير المتزامن للملفات (AIO) أو ميزة تضمين جانب الخادم (SSI).
- ثغرة CVE-2026-93479: يمكن تفاديها بالاعتماد على الالتقاطات المسماة (named captures) بدلاً من الالتقاطات غير المسماة وقصر استخدامها حصراً على كتلة مطابقة التعبيرات النمطية (regex).
ما الذي يتغير عملياً للمؤسسات؟
على الرغم من عدم رصد حالات استغلال نشطة لهذه الثغرات في الوقت الحالي ضمن الهجمات السيبرانية الميدانية، إلا أن بنية خوادم NGINX والمنتجات المرتبطة بها جعلتها هدفاً متكرراً لجهات التهديد السيبراني المدعومة دولياً وعصابات برامج الفدية في السنوات الأخيرة، حيث استهدفت الهجمات السابقة شبكات الشركات واختراق الأجهزة وتهريب البيانات الحساسة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.