كشف اكتشاف ثغرة أمنية حرجة في مكتبة Brotli لضغط البيانات، والمطورة من قبل جوجل، عن مخاطر واسعة النطاق في بيئات تطوير البرمجيات، حيث أطلق عليها الباحثون اسم "Node2Shell" (المسجلة برقم CVE-2026-111497). أدت هذه الثغرة إلى استنفار تقني شمل تحديثات أمنية من مايكروسوفت، ومشروع Node.js، ومطوري حزم بايثون، لتفادي مخاطر تنفيذ الأوامر البرمجية عن بُعد (RCE).
تكمن المشكلة في خلل من نوع "الكتابة خارج الحدود" (out-of-bounds write) في إصدارات Brotli من 1.0.3 إلى 1.2.0. وقد منحت جوجل هذه الثغرة درجة خطورة 9.2 وفق مقياس CVSS v4، مما يضعها في فئة الثغرات الحرجة. ويؤدي استغلال هذا الخلل إلى فساد في الذاكرة (memory corruption)، مما قد يتسبب في انهيار العمليات أو تسريب محتويات الذاكرة، أو الأسوأ من ذلك، السماح لمهاجم غير مصرح له بتنفيذ أكواد برمجية عشوائية.
لماذا يمثل هذا التهديد خطورة تقنية؟
تكمن أهمية Brotli في كونها مكتبة شائعة جداً لضغط البيانات المنقولة عبر الويب، ويتم دمج "مفكك الضغط" (decoder) الخاص بها في عدد هائل من التطبيقات والمكتبات البرمجية. أي تطبيق يقوم بمعالجة بيانات مضغوطة قادمة من مصدر غير موثوق — مثل طلبات HTTP المضغوطة، أو الاستجابات المستلمة من خوادم خارجية، أو الملفات المضغوطة — قد يكون عرضة للاختراق إذا كان يستخدم النسخة المصابة.
النطاق المتأثر والإصلاحات المتاحة
شملت موجة التحديثات عدة قطاعات تقنية حيوية لضمان سلامة الأنظمة:
- مايكروسوفت: أصدرت تحديثات لبيئات .NET (الإصدارات 8.0.33، 9.0.22، 10.0.14)، وVisual Studio (2019، 2022، 2026)، بالإضافة إلى PowerShell (الإصدارات 7.4، 7.5، 7.6).
- Node.js وبايثون: تم إصدار إصلاحات لمشروع Node.js وحزم بايثون الشهيرة مثل Brotli وbrotlicffi.
- أدوات أخرى: شملت التحديثات أيضاً Bun وEnvoy وIstio.
ما الذي يجب على المطورين والمسؤولين فعله؟
أكد الخبراء أن مجرد تحديث المكتبات قد لا يكون كافياً في بعض الحالات، لأن العمليات التي تعمل بالفعل ستستمر في استخدام الكود المصاب في الذاكرة. لذا، يتطلب الأمر اتخاذ الخطوات التالية:
- تحديث المكتبات فوراً: الانتقال إلى إصدارات Brotli 1.0.10، 1.1.1، أو 1.2.1 وما فوق.
- إعادة تشغيل الخدمات: يجب إعادة تشغيل كافة الخدمات والتطبيقات المتأثرة لضمان تحميل الكود الجديد وتطهير الذاكرة.
- إعادة بناء الحاويات: في بيئات الحوسبة السحابية، يجب إعادة بناء صور الحاويات (Container Images) بناءً على صور أساسية (Base Images) تم تحديثها لتشمل الإصلاحات.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.