أصدرت Google Cloud في 10 نوفمبر 2026 نشرتها الأمنية GCP-2026-081 حول ثلاث ثغرات في الجيل الخامس من معالجات AMD EPYC، المعروف باسم Turin، وصنفتها متوسطة الخطورة. وتقول الشركة إن مهاجماً قد يستنتج، في ظروف معينة، بيانات من طابور التخزين أو من ذاكرة L1 المؤقتة للبيانات.
والثغرات هي CVE-2024-36350 المعروفة باسم TSA-SQ، وCVE-2024-36357 المعروفة باسم TSA-L1، وCVE-2026-0004 الجديدة، وكلها من فئة هجمات المجدول العابرة (Transient Scheduler Attacks)، وهي من ثغرات القنوات الجانبية. وتقول AMD في نشرتها AMD-SB-7073 إن معالجات Zen 5 تتأثر بالأوليين بشكل مختلف عن المعالجات التي وصفتها سابقاً، ولذلك أصدرت تحديثات جديدة للبرنامج الثابت (PI) وإصلاحات مقابلة، وإن التخفيف الكامل يتطلب تحديث البرنامج الثابت والنظام معاً.
وبحسب AMD، قد تتيح CVE-2024-36350 استنتاج بيانات من عمليات تخزين سابقة، فتتسرب بيانات من النواة إلى المستخدم، بينما قد تتيح CVE-2024-36357 استنتاج بيانات من ذاكرة L1 المؤقتة، فتتسرب معلومات حساسة عبر حدود الصلاحيات، ومنها بين المضيف والضيف وبين ضيف وآخر وبين النواة والمستخدم. وتمنح AMD الثغرتين درجة 5.6 بحسب CVSS 3.1، وتصفهما بأنهما محليتان وعاليتا التعقيد وتحتاجان صلاحيات منخفضة.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
أما CVE-2026-0004 فتصفها AMD في نشرة AMD-SB-3055 بأنها قد تتيح لمن ينفذ كوداً على النظام استنتاج بيانات من ذاكرة L1 المؤقتة وتسريب معلومات عبر حدود الصلاحيات، وتمنحها درجة 5.7 بحسب CVSS 4.0. وتشمل النشرة معالجات EPYC من الفئتين 8005 و9005، وحددت AMD موعد إصدار البرنامج الثابت TurinPI_1.0.0.B للمصنعين في 10 يوليو 2026، وطلبت من العملاء مراجعة مصنعي أجهزتهم لتحديث BIOS.
وتمس الثغرات في Google Cloud سلاسل Compute Engine التالية: C4D وN4D وH4D وZ4D وG4، ومنها الخوادم المعدنية في C4D وZ4D. وتقول Google إنها طبقت حمايات تمنع الهجمات بين الأجهزة الافتراضية وبينها وبين المضيف، أما الحماية من الهجمات داخل الجهاز الافتراضي نفسه، كالهجمات بين العمليات، فتتطلب تحديث نظام التشغيل الضيف عند صدور إصلاحات مورده.
وبدءاً من 10 نوفمبر تجري Google تحديثاً لمعلومات المعالج التي تعرضها الأجهزة الافتراضية، حتى تتمكن النواة المحدثة من تفعيل حماياتها. وبعد وصول هذا التحديث إلى الجهاز يجب إيقافه وتشغيله، فإعادة تشغيل النظام الضيف وحدها لا تكفي بحسب النشرة.
ولا تذكر نشرة Google ولا نشرتا AMD استغلالاً فعلياً لأي من الثغرات الثلاث.
