ثغرة Brotli الخطيرة CVE-2026-111497: ما المطلوب من أصحاب المواقع الآن
قليل من أصحاب المواقع يعرفون اسم Brotli، رغم أن مواقعهم تستخدمه على الأرجح كل يوم. هذه المكتبة التي طورتها Google لضغط البيانات تجعل الصفحات أخف وأسرع في التحميل، وهي مدمجة في عدد كبير من البرمجيات التي تشغّل الإنترنت. لكن ثغرة جديدة تحمل الرقم CVE-2026-111497 حولت هذه المكتبة الصامتة إلى مصدر قلق حقيقي، بعد أن تأكد استغلالها في هجمات فعلية.
أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA الثغرة إلى قائمة الثغرات المستغلة فعلياً (KEV) يوم 27 أكتوبر 2026، وحددت للجهات الحكومية الأمريكية مهلة تنتهي في 10 نوفمبر 2026 لمعالجتها. هذه المهلة ملزمة رسمياً لتلك الجهات فقط، لكنها مؤشر عملي لكل من يدير خادماً أو موقعاً: الوقت ضيق، والتحديث لم يعد خياراً مؤجلاً.
ما هي ثغرة Brotli بالتحديد؟
الخلل من نوع الكتابة خارج حدود الذاكرة (Out-of-bounds write) داخل جزء فك الضغط في المكتبة، أي الجزء الذي يستقبل بيانات مضغوطة ويعيدها إلى شكلها الأصلي. بحسب الشرح الذي نشرته شركة Tenable، يستطيع المهاجم إرسال بيانات مضغوطة مصممة بعناية، فإذا قام التطبيق بفك ضغطها حدث تلف في الذاكرة قد يصل إلى تنفيذ أوامر على الخادم عن بُعد.
منحت Google الثغرة درجة 9.2 من 10 على مقياس CVSS الإصدار الرابع، وهي درجة تضعها في فئة الثغرات الحرجة. وانتشرت لها أسماء متعددة في التقارير الأمنية، منها HTTP2Shell وNode2Shell وBrotli2Shell، لكنها جميعاً تشير إلى المشكلة نفسها.
الإصدارات المتأثرة من المكتبة هي من 1.0.3 حتى 1.2.0، وأصدرت Google الإصلاح في ثلاثة إصدارات في اليوم نفسه لأن ثلاثة فروع من المكتبة كانت متأثرة: 1.0.10 و1.1.1 و1.2.1.
لماذا يعني هذا مواقعنا العربية أيضاً؟
المشكلة ليست في Brotli وحدها، بل في البرمجيات التي تحمل نسخة مدمجة منها داخلها. تقرير موقع Help Net Security وصف الثغرة بأنها «تتجاوز Node.js بكثير»، وتشمل القائمة التي جمعتها Tenable والمركز الكندي للأمن السيبراني:
- Node.js، وهو العمود الفقري لعدد كبير من المتاجر ولوحات التحكم وواجهات API.
- Bun وهي بيئة تشغيل JavaScript أحدث.
- Envoy Proxy وIstio المستخدمان في البنى السحابية وخدمات Kubernetes.
- منصة .NET وأداة PowerShell.
- حزم Python الخاصة بالضغط، مثل حزمة Brotli وحزمة brotlicffi على PyPI.
- إصدارات PHP على ويندوز.
إذا كان موقعك متجراً مبنياً على Node.js، أو تطبيقاً يعمل خلف بوابة سحابية، أو أداة داخلية تستقبل ملفات مضغوطة من المستخدمين، فأنت ضمن الدائرة. وحتى لو كان موقعك ووردبريس بسيطاً على استضافة مشتركة، فالخادم الذي يعمل عليه قد يحتوي على مكونات متأثرة يجب أن تتأكد من تحديثها.
هل استُغلت الثغرة فعلاً؟
نعم. إدراج CISA للثغرة في قائمة KEV يعني وجود دليل على هجمات حقيقية، وأشار تقرير Help Net Security إلى أن ثغرة Node2Shell تتعرض لهجمات نشطة. في المقابل، ذكرت Tenable أنها لم تتمكن بشكل مستقل من تأكيد إحدى محاولات الاستغلال المبلغ عنها. هذا التفاوت طبيعي في الأيام الأولى بعد كشف أي ثغرة، لكنه لا يغيّر الاستنتاج العملي: التحديث الآن أفضل من انتظار تفاصيل إضافية.
قائمة الإصدارات المصلحة التي يجب أن تعرفها
- مكتبة Brotli: 1.0.10 أو 1.1.1 أو 1.2.1 حسب الفرع الذي تستخدمه.
- Node.js: الإصدارات 22.23.4 و24.22.1 و26.12.1 صدرت في 21 أكتوبر 2026. أما الفروع 25 و23 و20 وما قبلها فقد انتهى دعمها ولن تحصل على إصلاح، والحل هو الانتقال إلى فرع مدعوم.
- Python: حزمة Brotli الإصدار 1.2.1، وحزمة brotlicffi الإصدار 1.2.1.0.
- Istio: الإصدار 1.29.9 يتضمن الإصلاح، مع ملاحظة أن فرع 1.29 انتهى دعمه في 15 أكتوبر 2026، لذا يُفضّل الانتقال إلى فرع أحدث.
- Debian: الإصدار 1.0.9-2+deb12u1 لنسخة bookworm، و1.1.0-2+deb13u1 لنسخة trixie، بحسب متتبع Debian الأمني.
بالنسبة إلى Envoy وPHP على ويندوز و.NET، راجع النشرات الأمنية الرسمية لكل مشروع لمعرفة رقم الإصدار الذي يحتوي الإصلاح قبل التحديث.
خطوات عملية لأصحاب المواقع ومديري الخوادم
- اعرف ما يعمل على خادمك. افتح لوحة الاستضافة أو اتصل بالخادم واكتب قائمة بالبرمجيات: إصدار Node.js، وإصدار PHP، وهل يعمل الموقع خلف Envoy أو Istio أو حاوية Docker.
- حدّث Node.js أولاً. شغّل الأمر
node -v، وإذا كان الإصدار أقدم من الأرقام المذكورة أعلاه فحدّثه فوراً. تحديث حزمة npm التي تحمل اسم brotli لا يكفي، لأن النسخة المتأثرة مدمجة داخل Node.js نفسه، وهي نقطة شددت عليها عدة تقارير. - حدّث حزم النظام. على خوادم Debian شغّل تحديث الحزم المعتاد وتأكد أن حزمة brotli وصلت إلى الإصدار المصلح. على Ubuntu تابع صفحة الأمان الرسمية، لأن بعض التقارير ذكرت أن الحزمة ما زالت قيد التقييم هناك.
- لا تنسَ الحاويات. صور Docker القديمة تحمل نسخها الخاصة من المكتبات. أعد بناء الصور على أساس صور أساسية محدثة ثم أعد نشرها.
- راجع تطبيقات Python. شغّل
pip show brotli brotlicffiداخل كل بيئة افتراضية، وحدّث ما يلزم. - إن كنت على استضافة مشتركة فلا تملك غالباً صلاحية تحديث مكونات الخادم. أرسل لمزود الاستضافة رسالة قصيرة تسأله فيها صراحة: هل عالجتم CVE-2026-111497؟ مزود الاستضافة الجاد سيجيبك بوضوح.
- حدّث المتصفحات على أجهزة فريقك. المتصفحات الحديثة تفك ضغط Brotli باستمرار، والتحديث الدوري لمتصفحك أبسط وقاية ممكنة. تحقق من ملاحظات إصدار متصفحك لمعرفة رقم النسخة التي تضمنت الإصلاح.
- راقب السجلات. أي انهيار غير مبرر لعمليات Node.js أو الخدمات الخلفية خلال الأيام الأخيرة يستحق الفحص، خاصة إذا تزامن مع طلبات غريبة تحمل محتوى مضغوطاً.
ماذا عن Nginx وApache وشبكات CDN؟
المواقع تستخدم Brotli غالباً لضغط الصفحات قبل إرسالها إلى الزائر، أما الثغرة فموجودة في جزء فك الضغط. لذلك يتركز الخطر الأكبر في الخدمات التي تستقبل بيانات مضغوطة من الخارج وتفك ضغطها، مثل الوكلاء العكسيين وبيئات التشغيل التي تعالج الطلبات. هذا لا يعني تجاهل Nginx أو Apache، فوحدات Brotli المضافة إليهما تعتمد على المكتبة نفسها، والتحديث إلى نسخ مبنية على مكتبة مصلحة هو الخيار الآمن.
إن كنت تستخدم شبكة CDN، فمزود الخدمة مسؤول عن تحديث خوادمه، لكن خادمك الأصلي خلف الشبكة يبقى مسؤوليتك أنت.
أسئلة شائعة
هل موقعي ووردبريس معرض للخطر؟
ووردبريس نفسه لا يتأثر مباشرة، لكن الخادم الذي يعمل عليه قد يحتوي مكونات متأثرة. اسأل مزود الاستضافة أو حدّث حزم الخادم إن كان لديك تحكم كامل.
هل يكفي تحديث حزمة brotli من npm؟
لا. النسخة المتأثرة مدمجة داخل Node.js، والحل هو تحديث Node.js نفسه إلى أحد الإصدارات المصلحة.
ما معنى مهلة 10 نوفمبر؟
هي المهلة التي حددتها CISA للجهات الحكومية الأمريكية لمعالجة الثغرة، وتصلح مرجعاً زمنياً للجميع.
هل أوقف ضغط Brotli في موقعي؟
ليس ضرورياً في أغلب الحالات. الحل الصحيح هو التحديث، أما إيقاف الضغط فيبطئ موقعك دون أن يعالج المكونات المتأثرة.
ولأن التقنية أصبحت جزءاً من تفاصيل يومنا، يمتد اهتمامنا من متابعة المواقع العربية والمدونات المتخصصة، إلى جانب ما توفره متاجر مصر ومتاجر الكويت ومتاجر الفيتامينات والمواقع الأجنبية، مع الاعتماد على موقع مشهور لخدمات السوشيال عاملاً أساسياً للنجاح والاستمرارية.
و الى هنا إخوانى وأخواتى الأعزاء نكون قد أتممنا المهمة بنجاح ✌
صلوا عالحبيب قلوبكم تطيب وافعلوا الخير مهما كان صغيراً 🎯🌷
ولا تنسوا إخواننا فى كل مكان من دعائكم📌
وتقبلوا تحيات فريق #رقميون #Raqmiyoun
كما يمكنكم الإطلاع على منتجات متجرنا من هنا 👈#متجرنا 🌷او هنا
وللإنضمام الى اسرتنا على جروب التليجرام من👈هنا
وكذلك جروب الفيس بوك والذى نقوم بمشاركة المعلومات عليه ومساعدة الأعضاء من👈هنا
وللإشتراك فى نشرتنا الإخبارية على اخبار جوجل اضغط هنا✌👇
Google News
مواضيع أخرى قد تهمك أيضاً :
اختبار أمني يكشف اختراقًا غير متوقع من نموذج ميتا
ثغرة يوم الصفر في جدار حماية Cisco: CVE-2026-76418 تُستغل الآن
التصيد الاحتيالي بات أذكى: بيانات حجز حقيقية ودعوات تقويم مفخخة
