الأمن التقني

ثغرة حرجة في نواة لينكس تتيح هجمات جذرية عن بُعد على خوادم MPTCP

أظهر باحثون في Anthropic كيف يمكن استغلال ثغرة حرجة في نواة لينكس لتنفيذ أوامر جذرية عن بُعد على خوادم تستخدم بروتوكول MPTCP، مع تحذيرات من تعقيد الاستغلال.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 31 أكتوبر 2026 · آخر تحديث: 31 أكتوبر 2026 · 4 دقائق قراءة

ثغرة حرجة في نواة لينكس تتيح هجمات جذرية عن بُعد على خوادم MPTCP — الصورة: BleepingComputer

كشف استغلال حرج في نواة لينكس

أعلن باحثون في شركة Anthropic عن تطوير استغلال لثغرة حرجة في نواة نظام لينكس، تتيح لمهاجمين غير مصادقين تنفيذ أوامر جذرية عن بُعد على الخوادم التي تعمل بسماعات Multipath TCP (MPTCP). تحمل هذه الثغرة المعرف CVE-2026-98432، وتؤثر أيضاً على اتصالات TCP العادية، رغم أن تنفيذ الأكواد عن بُعد لم يُستعرض علناً على خوادم لا تحتوي على سماعات MPTCP. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.

آلية الثغرة والتقييم التقني

تصنف الثغرة على أنها حالة استخدام بعد الإفلات (Use-After-Free) في كود شبكات IPv4 TCP داخل النواة، وحصلت على درجة خطورة 9.8 من 10 من فريق CVE لنواة لينكس. وفقاً للنصيحة الأمنية لنواة لينكس، تنبع المشكلة من حالة سباق (Race Condition) في معالجة طلبات اتصال TCP، مما قد يؤدي إلى قراءة بيانات تم تحريرها مسبقاً. يشير النص التقني إلى أن الدالة tcp_v4_syn_recv_sock() تنقل ملكية ireq->ireq_opt إلى المقبس الفرعي دون نسخه، بينما قد يعالج معالج آخر SYN مُعاد الإرسال في نفس الوقت، مما يسبب قراءة خاطئة لـ ireq->ireq_opt تحت قفل rcu_read_lock() فقط.

دور الذكاء الاصطناعي في الاستغلال

بينما وصف Red Hat الثغرة كمسألة إنكار خدمة محتملة بسبب تعقيد استغلال حالة السباق، أثبت باحثو Anthropic إمكانية استغلالها لتنفيذ أكواد عن بُعد تحت ظروف محددة. أوضح تقرير من Anthropic أن نموذج ذكاء اصطناعي غير منشور من Claude طور استغلالاً تجاوز عشوائية تخطيط مساحة عناوين النواة (KASLR) ونفذ أوامر جذرية على خادم لينكس يعمل بسماعة MPTCP. استغرق هذا الاستغلال حوالي 53 دقيقة لتحقيق تنفيذ الأكواد الجذرية عن بُعد، مما يؤكد أن الخطر يتجاوز مجرد تعطيل الخدمة.

التأثير على التوزيعات والإصدارات

تؤثر الثغرة على نوى لينكس منذ الإصدار 4.4، بما في ذلك توزيعات شائعة مثل Ubuntu وRed Hat Enterprise Linux (RHEL) وRocky Linux. وفقاً لتتبع Canonical الأمني، تبقى إصدارات Ubuntu 22.04 LTS و24.04 LTS و26.04 LTS و26.10 معرضة للخطر، مع استمرار العمل على إصلاحات النواة. كما تذكر Red Hat أن إصدارات RHEL 8 و9 و10 متأثرة، بينما لا يتأثر RHEL 7 لعدم احتواء نواته على الكود الضعيف. في سياق آخر، لاحظت CIQ أن Rocky Linux 8 و9 و10 متأثرة أيضاً، بينما أكدت أن macOS غير متأثرة لأنها تستخدم نواة XNU من Apple.

الإصلاحات والإجراءات الموقوتة

تم إصلاح الثغرة في نواة لينكس العلوية (Upstream) وإعادتها إلى فروع النوى المدعومة، لكن التحديثات الأمنية لم تصل بعد إلى جميع التوزيعات. وفقاً لتتبع Debian الأمني، تم إصلاح الثغرة في حزمة النواة 6.1.190-1 لإصدار Debian 12 (Bookworm) و6.12.113-1 لإصدار Debian 13 (Trixie)، مع توفر حزم مصلحة أيضاً لفرعي testing وunstable. أصدرت شركات أخرى مثل Oracle Linux وAmazon Linux وSUSE إصلاحات لبعض الإصدارات المتأثرة. تنصح CIQ في إرشادات التخفيف بحجب حزم IPv4 TCP التي تحتوي على خيارات IP مؤقتاً قبل وصولها إلى كود المعالجة الضعيف، مع تقديم أمثلة على قواعد nftables لهذا الغرض.

توصيات إدارية وتحذيرات

يُنصح المسؤولون بفحص إعلانات أمان توزيعاتهم وتثبيت حزم النوى المحدثة فور توفرها. للنظم التي لا تتوفر فيها رقع بعد، يمكن تقليل المخاطر عن طريق تقييد الوصول للشبكات أو عناوين IP الموثوقة فقط. تحذر CIQ من أن تعطيل MPTCP وحده غير كافٍ، لأن الثغرة الأساسية يمكن تحفيزها عبر حركة TCP عادية. حالياً، لا توجد تقارير مؤكدة عن استغلال CVE-2026-98432 في العالم الحقيقي، لكن الخطر يبقى مرتفعاً بسبب إمكانية الوصول عن بُعد دون مصادقة.