أصدرت مؤسسة SSD Secure Disclosure في 29 أكتوبر 2026 تقريراً أمنياً للباحث SeongJoon Cho من مختبرات SSD Labs Korea، يكشف عن ثغرة أمنية تتيح تنفيذ أوامر عن بعد قبل المصادقة ضمن عارض TightVNC المخصص لنظام Windows. وجرى اختبار الثغرة بنجاح على الإصدار 2.8.88 x64، وأرفقت المؤسسة مع تقريرها إثبات مفهوم برمجي مكتوب بلغة Python.
تعتمد آلية عمل الثغرة، وفقاً للتقرير، على خلل في حساب العارض لحجم المخزن المؤقت اللازم لشاشة الخادم باستخدام عدد صحيح بحجم 32 بت. وتؤدي استجابة الخادم بأبعاد كبيرة ذات قيم محددة إلى التفاف الناتج، مما يدفع العارض لتخصيص مخزن أصغر بكثير من المطلوب مع احتفاظه بالأبعاد الكاملة للشاشة. وتنفذ عمليات كتابة البكسلات لاحقاً حساب إزاحة بالحجم ذاته دون التحقق من الحدود، لتحدث عملية الكتابة خارج النطاق المخصص للمخزن.
يحدد التقرير مسارين لاستغلال الثغرة، يعتمد الأول على تشغيل العارض في وضع الاستماع وفتحه للمنفذ 5500 عبر كافة واجهات الشبكة دون اشتراط كلمة مرور أو تقييد للعناوين، ليسمح لأي خادم بالاتصال المباشر. ويتمثل المسار الثاني في اتصال المستخدم بخادم يقع تحت سيطرة المهاجم، ليحدث الاختراق الفعلي قبل ظهور أي مطالبة بإدخال كلمة المرور. وتصنف SSD هذه الثغرة ضمن فئة “قبل المصادقة” نظراً لقبول برمجية TightVNC لنوع الأمان None.
تؤكد SSD عدم تلقيها أي استجابة من الشركة المطورة بشأن بلاغها، مبينة أن الخلل عولج صمتاً في 3 أكتوبر 2026 دون إعلان رسمي عن إصلاح أمني. وتكشف نشرات الشركة عن طرح إصدارين للعارض خلال الشهر ذاته، أولهما الإصدار 2.8.89 بتاريخ 2 أكتوبر لتحسين الأمان والاستقرار، وثانيهما الإصدار 2.8.90 بتاريخ 5 أكتوبر لمعالجة مشكلات أمنية متعددة وتحسين آليات التعامل مع البيانات غير الصالحة الواردة من الخادم. وتغيب التفاصيل الدقيقة عن النشرتين، ليبقى شمولهما لهذه الثغرة غير مؤكد، بالتزامن مع تباين واضح بين تاريخ الإصلاح المعلن من SSD وتواريخ إصدارات الشركة.
ويفتقر تقرير SSD إلى معرف رسمي CVE أو تقييم دقيق لدرجة الخطورة أو حلول مؤقتة للتعامل مع التهديد، ويغيب عنه أي دليل على استغلال فعلي للثغرة أو تأكيد بشأن تأثر الإصدارات الأقدم من 2.8.88. وتخلو قاعدة بيانات NVD الوطنية حتى تاريخ 2 نوفمبر 2026 من أي معرف رسمي مرتبط بهذه الثغرة المحددة.
سجلت القاعدة ذاتها في 8 أكتوبر 2026 خمس ثغرات أمنية مختلفة ضمن برمجية TightVNC للإصدارات الأقدم من 2.8.88، تركزت أربع منها في الخادم الخاص بالبرمجية. وتمثلت الثغرة الخامسة في عملية قراءة خارج الحدود ضمن آلية فك ترميز ZRLE في العارض، لتمكن الخوادم الخبيثة أو المخترقة من قراءة ذاكرة الكومة وإيقاف عمل العارض كلياً.
تضع هذه المعطيات الجهاز المشغل للعارض في دائرة الخطر المباشر دون الخادم، سواء في حالة عمل العارض ضمن وضع الاستماع عبر المنفذ 5500 أو عند اتصاله بخادم يفتقر للموثوقية. ويمثل الإصدار 2.8.90 النسخة الأحدث بين التحديثين المذكورين في نشرات الشركة المطورة، والذي جرى إطلاقه رسمياً في 5 أكتوبر 2026.
