أصدرت شركة مايكروسوفت تحديثات أمنية طارئة (Out-of-Band) لمعالجة ثغرة أمنية حرجة تم تصنيفها تحت الرمز CVE-2026-111497، وتُعرف في الأوساط التقنية بأسماء متعددة منها Broccoli2Shell وNode2Shell وHTTP2Shell. تكمن المشكلة في خطأ من نوع "الكتابة خارج الحدود" (Out-of-bounds write) ضمن وحدة فك ترميز خوارزمية الضغط Brotli التي طورتها جوجل.
ما هي مخاطر هذه الثغرة؟
تؤثر هذه الثغرة على خوادم وعملاء HTTP والتطبيقات التي تعتمد على مكتبات Brotli المتأثرة. يمكن للمهاجمين استغلال هذه الثغرة عبر إرسال تدفق بيانات مضغوط بشكل خبيث، مما يؤدي إلى تعطل النظام أو تسريب في الذاكرة، وفي أسوأ السيناريوهات، قد يتمكن المهاجمون من تنفيذ تعليمات برمجية عن بُعد (RCE) أو تصعيد الامتيازات على الأنظمة التي تستخدم إعدادات غير افتراضية في بيئة .NET.
ما الذي يتغير عملياً للمستخدمين؟
أوضحت مايكروسوفت أن الثغرة لا تؤثر على جميع تطبيقات .NET بشكل تلقائي، حيث إن فك ضغط Brotli ليس مفعلاً افتراضياً في تثبيتات .NET أو ASP.NET Core القياسية. ومع ذلك، فإن التطبيقات التي تستخدم ميزات مثل ASP.NET Core request decompression أو HttpClient automatic response decompression أو واجهات برمجة تطبيقات System.IO.Compression بشكل يدوي هي الأكثر عرضة للخطر.
الإجراءات المطلوبة
حثت مايكروسوفت المطورين ومديري الأنظمة على تحديث بيئات العمل لديهم في أسرع وقت ممكن. شملت التحديثات الطارئة الإصدارات التالية:
- .NET 8: الإصدار 8.0.33
- .NET 9: الإصدار 9.0.22
- .NET 10: الإصدار 10.0.14
- .NET 11: الإصدار التجريبي الثالث (Release Candidate 3)
نصائح إضافية: في حال تعذر تطبيق التحديثات فوراً، يُنصح بحظر طلبات Brotli القادمة عبر جدار حماية أو وكيل (Proxy)، أو تعطيل ميزة فك ترميز Brotli مؤقتاً. تجدر الإشارة إلى أن تحديث مكتبة النظام لا يكفي إذا كانت التطبيقات تدمج نسختها الخاصة من مكتبة Brotli، حيث يجب تحديث تلك المكتبات المدمجة بشكل منفصل.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.