«بروتلي» تفتح خوادم الويب للاختراق: ثغرة تنفيذ الشيفرات تفرض تحديثات طارئة في نود دوت جي إس

كشفت تدريبات المحاكاة الأمنية الهجومية التي نفذها باحثو «أوبن إيه آي» عن ثغرة حرجة تتيح تنفيذ الشيفرات البرمجية عن بعد دون الحاجة إلى أي مصادقة مسبقة، وذلك داخل مكتبة ضغط البيانات الشهيرة «بروتلي» (Brotli). وتكمن خطورة الخلل، المسجل تحت المعرف CVE-2026-111497، في كونه خطأ كتابة خارج حدود الذاكرة المخصصة داخل وحدة فك الضغط التابعة للمكتبة، وهي المكون البرمجي المدمج في قلب بيئات تشغيل واسعة الانتشار مثل «نود دوت جي إس» (Node.js) و«بَن» (Bun) وخوادم التوجيه «إنفوي» (Envoy)، والتي تعتمد عليها قطاعات عريضة من شبكة الإنترنت لتقليص حجم حركة مرور بروتوكول نقل النص الفائق.

يكفي إرسال حزمة بيانات مضغوطة خبيثة للسيطرة الكاملة على الخادم أو تسريب محتويات ذاكرته دون الحاجة لامتلاك حساب مستخدم. فالخلل البرمجي يتيح للمهاجمين تشغيل تعليماتهم الخاصة على الأنظمة المتأثرة بمجرد تمرير مدخلات ملغومة، سواء أكانت في متن طلب قادم من عميل خبيث إلى خادم غير محدث، أم في استجابة واردة من خادم ملغوم إلى برنامج عميل مفعل به خيار قبول البيانات المضغوطة. ورغم أن أصل العلة البرمجية جرى تصحيحه في الشيفرة المصدرية لمكتبة «بروتلي» خلال فبراير الماضي، إلا أن المجتمع التقني لم يدرك حينها أن المسألة ترقى إلى ثغرة أمنية تهدد بتنفيذ الشيفرات، ولم يصدر إصدار رسمي جديد للمكتبة حتى أبلغت «أوبن إيه آي» المطورين والجهات المشرفة على المشاريع المعتمدة عليها، ما دفع القائمين على «بروتلي» لقطع إصدارات جديدة ونشر المعرف الأمني رسميا.

تحركت بيئة «نود دوت جي إس» على الفور وأصدرت في 21 أكتوبر 2026 حزم ترقيعات طارئة شملت سلاسل الإصدارات 22.x و24.x و26.x، متضمنة تسعة إصلاحات أمنية أخرى، بينما أعلنت «أوبن إيه آي» تفاصيل الكشف في منشور عبر منصة «إكس» في 23 أكتوبر. وأطلقت مبادرة أمن البرمجيات مفتوحة المصدر التابعة لها صفحة إرشادية متخصصة ومستقلة للثغرة عبر النطاق patchtheplanet.org، وذلك ضمن برنامج «داي بريك» للأمن السيبراني بالشراكة مع شركة «تريل أوف بيتس». ويجمع البرنامج مهندسي الأمن مع منصتي «هاكر ون» و«كاليف» للتعامل المباشر مع مطوري المشروعات المفتوحة، وفحص التقارير وتنقيحها ومساعدتهم في كتابة التحديثات واختبارها قبل تعميمها.

سلسلة التوريد البرمجية استجابت بإجراءات وقائية عاجلة لحماية البنية التحتية السحابية من الاستغلال المباغت. فقد بادرت مشروعات وحزم تعتمد على بيئة التشغيل، مثل منصة تدفق الأعمال «تريجر دوت ديف» وخوادم البريد الشبكي وأداة المطورين «كوالتي»، إلى دفع تحديثاتها الخاصة لسحب بيئة «نود دوت جي إس» المصححة، في حين فرضت شركة «فيرسل» قواعد جدار ناري طارئة لحماية عملائها في اليوم نفسه الذي كُشفت فيه الثغرة علنا. وتوفر الصفحة الاستشارية دليلا شاملا بالنسخ المعالجة، إلى جانب حل مؤقت حاسم يتمثل في تعطيل فك ضغط «بروتلي» تماما لمن لا تسعفهم ظروف تشغيلهم بالترقية الفورية لبيئة العمل.

تزامن انفجار ثغرة «بروتلي» في الأسبوع ذاته مع طرح إصلاحات طارئة للغة «بي إتش بي» بعد تسريب علل حرجة قبل جاهزية ترقيعاتها، وهو ما أشعل تحذيرات رسمية من رئيس وزراء اليابان ومكتب التحقيقات الفيدرالي الأمريكي، وقفز بمحاولات الاستغلال من الآلاف إلى الملايين خلال ساعات وفق إفادة الرئيس التنفيذي لشركة «كلاود فلير». وقد دفع هذا التسارع القيادات التقنية إلى إبداء قلق علني، إذ وصف توبي لوتكي، الرئيس التنفيذي لشركة «شوبيفاي»، المشهد بأنه أحد أسوأ أيام الأمن السيبراني منذ وقت طويل، وشاركه القلق مارك بينيوف، الرئيس التنفيذي لشركة «سيلزفورس».

هذا الاستنفار التقني يضع الفرق الهندسية ومسؤولي البنية السحابية في الخليج ومصر والشام أمام استحقاق تشغيلي فوري لا يقبل الإرجاء. فمع الاعتماد الكثيف للبنوك الرقمية ومنصات التجارة وبوابات الخدمات في المنطقة على بيئات «نود دوت جي إس» وبوابات التوجيه «إنفوي» لإدارة واجهات البرمجة، يصبح لزاما على مسؤولي البنية تدقيق صور الحاويات البرمجية فورا وتحديث خوادم الإنتاج إلى النسخ الآمنة. وفي البيئات المعقدة التي تتطلب إجراءات اعتماد مطولة وتؤخر ترقية بيئة التشغيل، يتعين اتخاذ قرار فوري بتعطيل فك ترميز «بروتلي» على مستوى بوابات الحافة والخوادم الوسيطة، مع قبول زيادة طفيفة ومؤقتة في استهلاك سعة النطاق لضمان سد نافذة الاختراق، إلى جانب فحص العمليات الخلفية التي تجلب بيانات خارجية عبر البرمجيات المعتمدة على ضغط المدخلات.

إن التحدي الجوهري الذي تكشفه هذه الواقعة هو هشاشة سلاسل الاعتمادية الرقمية حين تتسلل الثغرات إلى مكتبات ضغط شائعة تظل ساكنة لأشهر دون ترقية. ونرى أن حماية المنظومات لا تقتصر على مراقبة الشيفرات المكتوبة محليا، بل تتطلب يقظة مستمرة تجاه المكتبات المدمجة وآليات فك الضغط التلقائي، فتحصين خوادم الإنتاج لم يعد خيارا مؤجلا أمام هجمات قادرة على النفاذ بمجرد فك حزمة بيانات واحدة.