الأسبوع اللي الطريق للجذر المحلي اتفتح فيه كله مرة واحدة — ثغرات تصعيد الصلاحيات المحلية في نواة Linux دخلت فهرس KEV عند CISA مع نزول ثغرات استغلال علنية
يوم 18 سبتمبر، CISA ضافت ثلاث ثغرات في نواة Linux بتستغل بنشاط (CVE-2025-39682، CVE-2026-53266، CVE-2025-39964) لفهرس KEV، وRed Hat أكّدت إن فيه كود استغلال علني. في نفس اليوم، اتنشرت ثغرات استغلال شغّالة لأربع ثغرات تصعيد صلاحيات محلية في النواة (DirtyAH6، TUNderflow، PPPoEject، DiagSpill) في إطار إفصاح منسَّق. بنراجع ليه تصعيد الصلاحيات على المضيف المشترك بيلحق أجهزة الحدود في دائرة الضوء.
المقالة دي اتترجمت بالآلة.
يوم 18 سبتمبر 2026، CISA ضافت ثلاث ثغرات في نواة Linux لفهرس الثغرات المستغَلّة المعروفة (KEV) بناءً على دليل استغلال نشط: CVE-2025-39682 (CVSS 9.8، فحص شرط مش سليم في مسار استقبال TLS في النواة بيسمح بكشف الذاكرة أو الحرمان من الخدمة)، وCVE-2026-53266 (CVSS 8.8، كتابة برّه الحدود في مسار إعادة كتابة ARP لـ SNAT في ebtables لجسر netfilter بتمكّن من تصعيد الصلاحيات محليًا)، وCVE-2025-39964 (CVSS 7.8، حالة سباق بتسمح بكتابات متزامنة على نفس مقبس AF_ALG). الوكالات المدنية الفيدرالية اتادت لحد 21 سبتمبر عشان تطبّق الإصلاحات. وCISA منشّرتش لأي واحدة من التلاتة تفاصيل حملة أو إسناد لجهة تهديد، ولسه مش واضح لو هما سلسلة هجوم واحدة ولا لأ. اللي معروف: Red Hat حدّثت الإرشادات للتلاتة كلهم اعتبارًا من 19 سبتمبر عشان تقول إن الثغرة عالية الخطورة وإن فيه ثغرات استغلال علنية معروفة، وبتدعو لمعالجة بأولوية عالية (حسب The Hacker News، وCISA، وRed Hat).
في نفس اليوم، سطح هجوم النواة اتوسع بتيار لوحده. الباحث الأمني Asim Manizada كان بلّغ فريق أمن نواة Linux بأربع ثغرات تصعيد صلاحيات محلية (LPE) في نص يوليو — DirtyAH6 (CVE-2026-80844، IPsec AH6)، وTUNderflow (CVE-2026-81000، أجهزة الشبكة الافتراضية TUN/TAP)، وPPPoEject (CVE-2026-68121، PPPoE)، وDiagSpill (CVE-2026-74469، sctp_diag في SCTP). يوم 18 سبتمبر، بعد إمساك منسَّق عشان التوزيعات تشحن الإصلاحات، نشر شروح تقنية مع ثغرات استغلال شغّالة. الأربع كلهم متصلحّين في النوى الحالية ومفيش تقارير عن استخدام في الواقع. بس تلاتة من الأربع — DirtyAH6 وTUNderflow وPPPoEject — بيفترضوا إن مساحات أسماء المستخدم من غير امتيازات مفعّلة، ودي ميزة توزيعات كتير بتفعّلها افتراضيًا؛ والرابعة، DiagSpill، مش محتاجة أي امتيازات خاصة خالص طول ما وحدة SCTP متاحة (حسب تغطية The Hacker News).
تحليل (منفصل عن الوقائع): نزول القصتين في نفس اليوم بيعلّم تحوّل في التركيز من «المدخل» لـ«اللي بيجي بعده». المرصد ده غطّى الأسبوع اللي فات اختراق جذري لأجهزة حدود مفتوحة على الإنترنت — Cisco ISE وSecure Email Gateway. أجهزة الحدود متوصلّة بالتصميم، فسؤال «هي مكشوفة ولا لأ» بيجاوب على نفسه؛ أما ثغرات النواة الأسبوع ده كلها محلية الأول (التشغيل عن بُعد ضيّق ومركّز على الانهيار). اللي يهم من ناحية المهاجم هو القايمة اللي بتزيد من المسارات من موطئ قدم أول على مضيف مشترك للجذر. مضيفات الحاويات ومشغّلات CI والسيرفرات متعددة المستأجرين وبيئات أحمال شغل الذكاء الاصطناعي كلها أصول افتراض شغلها إن «أطراف كتير ماسكة هنا أصداف منخفضة الامتياز» — كل ثغرة استغلال علنية بتنزل بتخفّض تكلفة الحركة الجانبية. وبيتقال إن ثغرات الاستغلال المنشورة محتاجة تظبيط لبناءات نواة محدّدة وممكن توقع الآلة؛ وده كلام عن تكلفة التطوير، مش عن قابلية الاستغلال.
الدلالات الدفاعية: (1) مدخلات KEV التلاتة خاضعة لمتطلبات الفرز الجنائي في BOD 26-04 عند CISA، مش التصحيح بس — ومراجعة السجلات عشان اختراق قبل التصحيح هي خط الأساس. (2) مساحات أسماء المستخدم ضرورية لأحمال شغل كتير، بس على السيرفرات اللي مش محتاجاها تعطيلها يستاهل التقييم: إن تلاتة من ثغرات LPE الأربع الجديدة بيفترضوا الإعداد الافتراضي الواحد ده بيبيّن قد إيه من سطح هجوم النواة معلّق على اختيار تهيئة واحد. (3) على المضيفات المشتركة، اعمل جرد للبنية نفسها — عزل المستأجرين، ومشغّلات CI العابرة، وعزل أحمال شغل الذكاء الاصطناعي — جنب التصحيح لكل CVE، عشان «واحد ياخد الجذر، الكل يخسر» خاصية تصميم، مش مستوى تصحيح. (4) بما إن اختراق مساحة النواة مش باين لوكلاء مساحة المستخدم، فالاستكمال بكشف وقت تشغيل مبني على eBPF ومراقبة سلامة النواة خيار واقعي. الوقائع هنا مأخوذة من تنبيه KEV عند CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog)، وتغطية The Hacker News لإضافات KEV (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) ولإفصاحات LPE الأربع (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html)، وإرشاد Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). التحليل متساب منفصل عن التغطية.