أصدرت كل من Microsoft وفريق PHP وPalo Alto Networks بين 25 و26 أكتوبر 2026 تحديثات أمنية لمعالجة ثغرة حرجة في مكتبة الضغط Brotli التابعة لشركة Google، والتي تحمل المعرف (CVE-2026-111497 بتقييم CVSS عند 9.2). تأتي هذه الخطوة بعد أيام من إصلاح الثغرة ذاتها في بيئة Node.js يوم 21 أكتوبر. وأدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) هذه الثغرة ضمن فهرس الثغرات المستغلة فعلياً (KEV) في 27 أكتوبر، ملزمة الجهات الفدرالية بمعالجتها في موعد أقصاه 10 نوفمبر.
يوضح سجل الثغرات الذي نشرته Google في 22 أكتوبر أن الخلل يكمن في عملية كتابة خارج حدود الذاكرة داخل مفكك Brotli، ويؤثر على الإصدارات الممتدة من 1.0.3 حتى 1.2.0 عبر جميع أنظمة التشغيل. يتيح هذا الخلل لمهاجم عن بعد، دون الحاجة إلى مصادقة، إرسال بيانات مضغوطة خبيثة تؤدي إلى إفساد حالة المفكك، أو قراءة بيانات حساسة من الذاكرة، أو التسبب في انهيار العملية، مع احتمالية تنفيذ أوامر برمجية. وقيمت Google الثغرة بدرجة 9.2 على مقياس CVSS 4.0، وأطلقت إصلاحات عبر الإصدارات 1.0.10 و1.1.1 و1.2.1. وتعود جهود اكتشاف هذا الخلل إلى الباحثين Khai Tran وSylvie Mayer من فريق Codex Security التابع لشركة OpenAI.
من جهتها، أطلقت Microsoft في 25 أكتوبر تحديثات أمنية لبيئة .NET شملت الإصدارات 8.0.33 و9.0.22 و10.0.14، إضافة إلى الإصدار التجريبي RC3 من .NET 11، مقيمة الثغرة بدرجة 8.1 على مقياس CVSS 3.1 ضمن دليلها الأمني، ومؤكدة في 26 أكتوبر عدم رصد أي استغلال لها. وتشير النشرة الفنية للشركة إلى أن مجرد وجود الحزمة المتأثرة لا يشكل خطراً مباشراً على التطبيقات، إذ يشترط لوقوع الهجوم فك التطبيق ضغط بيانات Brotli التي يتحكم بها المهاجم، سواء عبر فك الضغط التلقائي للطلبات في ASP.NET Core، أو استجابات HttpClient، أو من خلال الاستدعاء المباشر لواجهات Brotli، علماً أن الخيارين الأولين معطلان افتراضياً.
وتحذر Microsoft من أن تحديث بيئة التشغيل المشتركة لا ينسحب على التطبيقات المستقلة أو تطبيقات NativeAOT التي تدمج المفكك برمجياً بداخلها، حيث تتطلب هذه الفئات إعادة بناء ونشر من جديد لضمان الحماية. وفي المقابل، لا تتأثر بيئة .NET Framework بهذه الثغرة.
وفي سياق متصل، أجرى فريق PHP في 26 أكتوبر إعادة بناء لحزم Windows الخاصة بالإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 لدمج مكتبة Brotli 1.2.1 الآمنة. ويشير الإعلان الرسمي إلى إمكانية وصول المهاجم إلى المفكك المصاب عبر إضافة cURL في حال تفعيل خاصية فك الضغط التلقائي لاستجابات HTTP، ورغم تعطيل هذه الخاصية افتراضياً في cURL، إلا أن بعض التطبيقات ومكتبات HTTP قد تقوم بتفعيلها. وحملت الحزم المحدثة اللاحقة “-1” نظراً لعدم تغير المصدر البرمجي لـ PHP أو رقم إصداره، وهو تحديث يعقب بأيام معالجة ثغرتين ضمن سلسلة PHP2Shell.
على صعيد البنية التحتية للشبكات، أفادت Palo Alto Networks في 26 أكتوبر بتأثر جدران الحماية من فئتي PA وVM العاملة بأنظمة PAN-OS 11.2 و12.1 و12.2، شريطة أن يكون فحص Brotli مفعلاً بالتزامن مع فك تشفير TLS. وأوضحت الشركة أن ترميز Brotli معطل افتراضياً في الإصدار PAN-OS 11.2.4 وما تلاه، وغير مدعوم في الإصدارات السابقة له. وقُيمت الثغرة بدرجة 9.2 على مقياس CVSS 4.0 مع تصنيف إلحاح متوسط، بينما بقيت واجهة الإدارة والإصداران 10.2 و11.1 بمنأى عن الخطر. وفي انتظار استكمال طرح التحديثات المصلحة بحلول 30 أكتوبر، توصي الشركة بتعطيل ترميز Brotli، مشيرة أيضاً إلى تأثر عميل Prisma Cloud Application Security Transporter Client في الإصدارات الأقدم من 0.2.9.
لم تكشف CISA عن هوية المنتج الذي تم استغلال الثغرة من خلاله أو الجهة المنفذة، مؤكدة غياب أي أدلة حالية على توظيفها في هجمات برمجيات الفدية. وبدورها، أكدت Palo Alto Networks في تحديثها الصادر في 28 أكتوبر عدم رصدها لأي استغلال خبيث. وفي الإطار ذاته، أعلنت Red Hat تأثر الإصدارات من 7 إلى 10 من نظام RHEL بشكل مباشر، مع الإشارة إلى أن آليات تحصين النظام تعقد من قدرة المهاجمين على تنفيذ الأوامر بشكل موثوق، موصية بتقييد الخدمات التي تفك ضغط Brotli من مصادر غير موثوقة وتقليص الوصول الشبكي إليها ريثما تتوفر الحزم المصلحة.
