الأسبوع الذي انفتح فيه الطريق إلى الجذر المحلي دفعة واحدة — ثغرات تصعيد الصلاحيات المحلية في نواة Linux تدخل فهرس KEV لدى CISA مع نزول ثغرات استغلال علنية
في 18 سبتمبر، أضافت CISA ثلاث ثغرات في نواة Linux تُستغل بنشاط (CVE-2025-39682، CVE-2026-53266، CVE-2025-39964) إلى فهرس KEV، وأكّدت Red Hat وجود رمز استغلال علني. في اليوم نفسه، نُشرت ثغرات استغلال عاملة لأربع ثغرات تصعيد صلاحيات محلية في النواة (DirtyAH6، TUNderflow، PPPoEject، DiagSpill) في إطار إفصاح منسَّق. ندرس لماذا يتبع تصعيد الصلاحيات على المضيف المشترك أجهزة الحدود إلى دائرة الضوء.
تُرجمت هذه المقالة آليًا.
في 18 سبتمبر 2026، أضافت CISA ثلاث ثغرات في نواة Linux إلى فهرس الثغرات المستغَلّة المعروفة (KEV) استنادًا إلى دليل على استغلال نشط: CVE-2025-39682 (CVSS 9.8، فحص شرط غير سليم في مسار استقبال TLS في النواة يسمح بكشف الذاكرة أو الحرمان من الخدمة)، وCVE-2026-53266 (CVSS 8.8، كتابة خارج الحدود في مسار إعادة كتابة ARP لـ SNAT في ebtables لجسر netfilter تمكّن من تصعيد الصلاحيات محليًا)، وCVE-2025-39964 (CVSS 7.8، حالة تسابق تسمح بكتابات متزامنة إلى مقبس AF_ALG نفسه). مُنحت الوكالات المدنية الفيدرالية حتى 21 سبتمبر لتطبيق الإصلاحات. ولم تنشر CISA لأي من الثلاث تفاصيل حملة أو إسنادًا لجهة تهديد، وما إذا كانت تشكّل سلسلة هجوم واحدة يبقى غير واضح. ما هو معروف: حدّثت Red Hat الإرشادات للثلاث جميعًا اعتبارًا من 19 سبتمبر لتصرّح بأن الثغرة عالية الخطورة وبأن ثغرات استغلال علنية معروفة موجودة، داعيةً إلى معالجة ذات أولوية عالية (حسب The Hacker News، وCISA، وRed Hat).
في اليوم نفسه، اتسع سطح هجوم النواة بتيار منفصل. كان الباحث الأمني Asim Manizada قد أبلغ فريق أمن نواة Linux بأربع ثغرات تصعيد صلاحيات محلية (LPE) في منتصف يوليو — DirtyAH6 (CVE-2026-80844، IPsec AH6)، وTUNderflow (CVE-2026-81000، أجهزة الشبكة الافتراضية TUN/TAP)، وPPPoEject (CVE-2026-68121، PPPoE)، وDiagSpill (CVE-2026-74469، sctp_diag في SCTP). في 18 سبتمبر، بعد إمساك منسَّق كي تشحن التوزيعات الإصلاحات، نشر شروحًا تقنية مع ثغرات استغلال عاملة. الأربع جميعها مُصلحة في النوى الحالية ولا توجد تقارير عن استخدام في العالم الواقعي. لكن ثلاثًا من الأربع — DirtyAH6 وTUNderflow وPPPoEject — تفترض أن مساحات أسماء المستخدم غير المميَّزة مفعّلة، وهي ميزة تفعّلها توزيعات كثيرة افتراضيًا؛ أما الرابعة، DiagSpill، فلا تتطلب أي امتيازات خاصة على الإطلاق ما دامت وحدة SCTP متاحة (حسب تغطية The Hacker News).
تحليل (منفصل عن الوقائع): نزول القصتين في اليوم نفسه يَسِم تحوّلًا في التركيز من «المدخل» إلى «ما يأتي بعده». غطّى هذا المرصد الأسبوع الماضي اختراقًا جذريًا لأجهزة حدود مواجهة للإنترنت — Cisco ISE وSecure Email Gateway. أجهزة الحدود قابلة للوصول بالتصميم، لذا سؤال «هل هي مكشوفة» يجيب عن نفسه؛ أما ثغرات النواة هذا الأسبوع فكلها محلية أولًا (التشغيل عن بُعد ضيّق ومتمحور حول الانهيار). ما يهم من منظور المهاجم هو القائمة المتنامية من المسارات من موطئ قدم أولي على مضيف مشترك إلى الجذر. مضيفات الحاويات ومشغّلات CI والخوادم متعددة المستأجرين وبيئات أحمال عمل الذكاء الاصطناعي كلها أصول افتراض تشغيلها هو «أطراف متعددة تمسك هنا بأصداف منخفضة الامتياز» — كل ثغرة استغلال علنية تنزل تخفّض كلفة الحركة الجانبية. ويُقال إن ثغرات الاستغلال المنشورة تحتاج إلى ضبط لبناءات نواة محدّدة ويمكنها أن تُسقط الآلة؛ وذلك قول عن كلفة التطوير، لا عن قابلية الاستغلال.
الدلالات الدفاعية: (1) مدخلات KEV الثلاث خاضعة لمتطلبات الفرز الجنائي في BOD 26-04 لدى CISA، لا للتصحيح وحده — ومراجعة السجلات بحثًا عن اختراق سابق للتصحيح هي خط الأساس. (2) مساحات أسماء المستخدم ضرورية لكثير من أحمال العمل، لكن على الخوادم التي لا تحتاجها يستحق تعطيلها التقييم: فكون ثلاث من ثغرات LPE الأربع الجديدة تفترض هذا الإعداد الافتراضي الواحد يبيّن كم من سطح هجوم النواة معلّق على خيار تهيئة واحد. (3) على المضيفات المشتركة، اجرِ جردًا للبنية نفسها — عزل المستأجرين، ومشغّلات CI العابرة، وعزل أحمال عمل الذكاء الاصطناعي — إلى جانب التصحيح لكل CVE، لأن «شخص واحد يحصل على الجذر، يخسر الجميع» خاصية تصميم، لا مستوى تصحيح. (4) بما أن اختراق فضاء النواة غير مرئي لوكلاء فضاء المستخدم، فإن الاستكمال بكشف وقت تشغيل قائم على eBPF ومراقبة سلامة النواة خيار واقعي. تستند الوقائع هنا إلى تنبيه KEV لدى CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog)، وتغطية The Hacker News لإضافات KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) ولإفصاحات LPE الأربع (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html)، وإرشاد Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). يُبقى التحليل منفصلًا عن التغطية.