الروبوتات

ثغرة Node2Shell في مكتبة Brotli تدفع مايكروسوفت وNode.js لإصدار تحديثات عاجلة

أثارت ثغرة حرجة في مكتبة ضغط البيانات Brotli موجة من التحديثات الأمنية العاجلة عبر منصات برمجية كبرى، وسط تحذيرات من إمكانية استغلالها لتنفيذ أكواد خبيثة.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 26 أكتوبر 2026 · آخر تحديث: 26 أكتوبر 2026 · 4 دقائق قراءة

ثغرة Node2Shell في مكتبة Brotli تدفع مايكروسوفت وNode.js لإصدار تحديثات عاجلة — الصورة: SecurityWeek

تفاصيل الثغرة وتأثيرها الواسع

كشفت شركة Google عن ثغرة حرجة في مكتبة ضغط البيانات Brotli، المعروفة باسم Node2Shell، والتي تحمل الرقم CVE-2026-111497. هذه الثغرة، المصنفة كخطأ في الكتابة خارج حدود الذاكرة (Out-of-bounds write)، تؤثر على إصدارات Brotli من 1.0.3 إلى 1.2.0، وتم تصنيفها من قبل Google بتقييم CVSS v4 يبلغ 9.2، مما يضعها في فئة الثغرات الحرجة. نظرًا لانتشار مكتبة Brotli في العديد من التطبيقات والمكتبات البرمجية، فإن تأثير هذه الثغرة يمتد ليشمل نطاقًا واسعًا من الأنظمة والبرمجيات. ويمكن الرجوع إلى SecurityWeek للاطلاع على التفاصيل الأصلية للمصدر.

وفقًا لبيان صادر عن مشروع Node.js، يمكن لإدخال بيانات مصممة خصيصًا أن يدفع البيانات إلى تجاوز حدود الذاكرة المستخدمة في فك الضغط. هذا التدمير في الذاكرة قد يؤدي إلى انهيار العملية أو تسريب محتوى الذاكرة، بل وقد يسمح لمهاجم غير مصادق بتنفيذ أكواد عشوائية. تم اكتشاف الثغرة من قبل أعضاء فريق OpenAI Codex Security، حيث أوضحت OpenAI أن المشكلة اكتُشفت أثناء أعمال اختبار الاختراق (Red-teaming)، وتم إخطار مطوري Brotli والمشاريع المعتمدة على المكتبة.

إصدارات الإصلاح والتحديثات العاجلة

أصدر مشروع Node.js والمطورون المسؤولون عن حزم Python تحديثات لإصلاح الثغرة في الأسبوع الماضي. تبعهم مايكروسوفت في 25 أكتوبر بإصدار إصلاحات شاملة لمنتجات .NET وVisual Studio وPowerShell. بالإضافة إلى ذلك، تم تحديث منصات أخرى مثل Bun وEnvoy وIstio. تتضمن إصدارات Brotli التي تحتوي على الإصلاح الإصدارات 1.0.10 و1.1.1 و1.2.1. في حالة مايكروسوفت، شملت التحديثات إصدارات .NET runtime 8.0.33 و9.0.22 و10.0.14، بالإضافة إلى .NET 11 Release Candidate 3، وإصدارات Visual Studio 2019 و2022 و2026، وPowerShell 7.4 و7.5 و7.6.

فيما يتعلق بحزم Python، تم دمج فك الضغط المتأثر في حزمي Brotli وbrotlicffi على PyPI، وتم إصلاحهما بإصدار الإصدارين 1.2.1 و1.2.1.0 على التوالي. صنفت مايكروسوفت الثغرة كمشكلة في رفع الامتيازات بتقييم CVSS v3.1 يبلغ 8.1، واعتبرتها حرجة لمنتجات .NET وVisual Studio، ومهمة لـ PowerShell، مع تقييم قابلية الاستغلال بأنها "الاستغلال أكثر احتمالاً".

إمكانية الاستغلال والتحقق العملي

أظهرت شركة Imperva الأمنية أن الثغرة يمكن استغلالها لتنفيذ أكواد خبيثة على الصورة الرسمية لـ Node.js 24.22.0 لنظام Linux arm64. قام باحثو الشركة بإرسال بيانات خبيثة في استجابة خادم تم استرجاعها من التطبيق المستهدف، وفي جسم طلب تمت معالجته بواسطة Express 5 أو body-parser 2. أكد فريق Imperva أن الدليل نجح في إثبات تنفيذ الأكواد على الإعدادات المختبرة، مع ملاحظة أن الدليل لم ينجح في كل محاولة.

لا تعمل الهجمات إلا إذا وصلت بيانات Brotli الخبيثة إلى فك الضغط، مثلًا من خلال مكتبة تفكك المحتوى المضغوط نيابة عن التطبيق. أشارت مبادرة Patch the Planet التابعة لـ OpenAI في نصحها الأمني إلى أن أي تطبيق يمرر بيانات يتحكم بها المهاجم إلى فك ضغط Google Brotli المتأثر قد يكون معرضًا للخطر، بما في ذلك أجسام طلبات HTTP المضغوطة، والاستجابات المسترجعة من خوادم غير موثوقة، والملفات المضغوطة.

الحالة الحالية والتوصيات الأمنية

لم يتم الإبلاغ حتى الآن عن أي استغلال للثغرة في هجمات حقيقية على نطاق واسع. ومع ذلك، تم نشر استغلال تجريبي (Proof-of-concept) على GitHub يُزعم أنه يحقق تنفيذ الأكواد فقط ضد بناء تم إضعافه عمدًا، بينما أشار بعض الباحثين إلى أن الثغرة قد تُستخدم فقط لشن هجمات إنكار الخدمة (DoS). مع ظهور المزيد من البرمجيات المتأثرة، بدأ الباحثون في الإشارة إلى الثغرة بأسماء أخرى مثل HTTP2Shell وBroccoli2Shell.

يحتوي المتتبع العام للبرمجيات التي تتضمن نسخة خاصة منها من فك ضغط Brotli على قائمة بمشاريع لم يتم إصلاحها بعد، بما في ذلك DuckDB وApache Arrow و7-Zip-zstd وp7zip وEDK II. وأوضح صيانة المتتبع أن القائمة غير مكتملة، وأن ليس كل تكوينات هذه المشاريع يعرض بالضرورة الكود المتأثر. يتطلب تطبيق التحديثات إعادة تشغيل الخدمات المتأثرة وإعادة بناء صور الحاويات (Container images) على أساس نظام أساسي تم إصلاحه، لأن العمليات التي تعمل بالفعل ستستمر في استخدام الكود المتأثر.