الأمن التقني

CISA تحذر من استغلال ثغرة Node2Shell في أنظمة Node.js

كشفت وكالات الأمن السيبراني عن محاولات نشطة لاستغلال ثغرة حرجة في مكتبة ضغط البيانات Brotli، مما دفع الجهات الفيدرالية الأمريكية لاتخاذ إجراءات فورية.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 28 أكتوبر 2026 · آخر تحديث: 28 أكتوبر 2026 · 4 دقائق قراءة

CISA تحذر من استغلال ثغرة Node2Shell في أنظمة Node.js — الصورة: SecurityWeek

إدراج رسمي في قائمة التهديدات الفيدرالية

أعلنت الوكالة الأمريكية للأمن السيبراني CISA عن إدراج ثغرة Node2Shell، المعروفة أيضاً باسم HTTP2Shell أو Broccoli2Shell، في كتالوج الثغرات المعروفة المستغلة (KEV). تحمل الثغرة رقم CVE-2026-111497 وهي عبارة عن خطأ في الكتابة خارج الحدود (Out-of-bounds write) في فك ترميز مكتبة Brotli للضغط التي طورها Google. تؤثر هذه الثغرة على إصدارات Brotli من 1.0.3 إلى 1.2.0، مما يسمح للمهاجمين بإسقاط التطبيقات، كشف محتوى الذاكرة، أو تنفيذ أوامر خبيثة عبر بيانات مضغوطة مصممة خصيصاً. أضافت CISA هذه الثغرة إلى قوائمها في 27 أكتوبر، وأمرت الوكالات المدنية الفيدرالية بمعالجتها قبل 10 نوفمبر، دون تقديم تفاصيل إضافية حول هوية المهاجمين.

رصد محاولات استغلال عبر أنظمة العسل

سجلت شركتا أمن سيبراني محاولات استغلال نشطة ضد شبكات العسل الخاصة بهما. ذكرت شركة Previdian، التي تراقب نشاط الاستغلال عبر شبكة مستشعرات خاصة، أنها رصدت محاولة استغلال واحدة استهدفت الثغرة في 27 أكتوبر من عنوان IP أمريكي. صنفت الشركة هذه المحاولة بثقة 'مؤكدة'، موضحة أن هذا التصنيف يعكس قوة الأدلة الداعمة لاعتبارها استغلالاً فعلياً، دون ضمان نجاح الهجوم. من جانبها، كشفت مختبرات ELLIO، المتخصصة في رصد الاستغلال الجماعي، عن اعتراض طلب خبيث استهدف نظام Node.js 24.22.0 على معالجات x86-64 في 26 أكتوبر. أشارت ELLIO إلى أن نفس عنوان IP كان قد استهدف سابقاً ثغرات PHP2Shell وأجهزة VPN من Palo Alto Networks وFortinet، مما يشير إلى أن المهاجم يركز على الاستغلال على نطاق واسع.

تحليل تقني للاستغلالية المعطلة

على الرغم من رصد المحاولة، أكدت ELLIO أن أداة الاستغلال المستخدمة كانت معطلة جزئياً. تطابقت مكونات التسليم مع أكواد إثبات المفهوم العامة، لكن المرحلة النهائية التي كتبها المهاجم فشلت في إنشاء قشرة (Shell) في جميع الاختبارات الخمسين التي أجرتها الشركة على نسخة Node.js متضررة. وصفت ELLIO هذا بأنه محاولة من الجيل الأول أطلقها المهاجم قبل اختبار المرحلة النهائية بشكل كامل ضد هدف حي، مشيرة إلى وجود إطار عمل يعمل لكن بأوامر أخيرة معيبة. نجحت ELLIO بنفسها في تنفيذ أوامر على أربعة إعدادات مختلفة تعمل على بناء Node.js الرسمي، محذرة من أن محاولات الاستغلال الفاشلة قد تؤدي إلى انهيار العملية المستهدفة، مما يجعلها أداة محتملة لهجمات حجب الخدمة (DoS).

إصدارات التصحيحات العاجلة

بعد الإبلاغ عن الثغرة من قبل باحثين في OpenAI، أصدرت Node.js وGoogle تصحيحات في 21 أكتوبر. تبعهم في ذلك Microsoft، المسؤول عن حزم Python، بالإضافة إلى مشاريع Bun وEnvoy وIstio. كما تعمل Palo Alto Networks على نشر تصحيحات عاجلة لأنظمة PAN-OS. أثبتت شركة Imperva إمكانية استغلال الثغرة لتنفيذ أوامر على صورة Node.js الرسمية، مما يؤكد خطورتها العملية. يوصي الخبراء بتحديث جميع المكونات المعتمدة على مكتبة Brotli فوراً لتجنب المخاطر الأمنية المحتملة.

تأثير الثغرة على منتجات VMware

حذرت Broadcom في 27 أكتوبر من أن مكون SDDC Manager في VMware Cloud Foundation وvSphere Foundation متأثر بالثغرة بسبب اعتماده على Node.js. صنفت الشركة المشكلة كحرجة مع درجة CVSS تبلغ 9.8 لإصدار SDDC Manager 9.1.1، ودرجة 7.5 للإصدارات الأقدم. أوضحت Broadcom أن الفاعل الخبيث الذي لديه وصول شبكي يمكنه استغلال هذه الثغرة لتنفيذ أوامر خبيثة. على الرغم من عدم ذكر الاستغلال في العالم الحقيقي في النشرة، إلا أن الشركة نشرت حلولاً مؤقتة في مقالتي قاعدة معرفية، مع انتظار تصحيحات نهائية لجميع الإصدارات المتأثرة.