أصدرت شركة “مايكروسوفت” تحديثات أمنية طارئة لمنصة “.Net” البرمجية، لسدّ ثغرة حرجة تُعرف باسم “Broccoli2Shell”، كما يُشار إليها أيضاً باسمَي “Node2Shell” و”HTTP2Shell”، بحسب موقع “بليبينغ كمبيوتر” المتخصص.
وتحمل الثغرة الرمز CVE-2026-111497، وقد اكتشفها فريق “ريد تيم” التابع لشركة “إمبيرفا”، وتنجم عن خلل في الكتابة خارج حدود الذاكرة المخصصة داخل أداة فك ضغط “Brotli”، التي تستخدمها “غوغل” على نطاق واسع لضغط البيانات من دون فقدانها.
ويتيح الاستغلال الناجح للثغرة لمهاجمين لا يملكون صلاحيات استخدام بيانات مضغوطة بـ”Brotli” ومُعدّة بشكل خبيث للتسبب بأعطال أو تسريبات في الذاكرة، وفي بعض الحالات تنفيذ أوامر برمجية عن بُعد على الأجهزة التي تستخدم نسخاً مصابة من مكتبات “Brotli”. كما أوضحت “مايكروسوفت”، في نشرة أصدرتها الأحد، أن المهاجمين قد يستغلون الثغرة لرفع صلاحياتهم عن بُعد على الأنظمة التي تستخدم منصة “.NET” غير المحدّثة بإعدادات غير افتراضية.
وقالت الشركة إن التطبيقات “قد تتأثر إذا كانت تعالج بيانات مضغوطة بـBrotli عبر خاصية فك ضغط الطلبات في ASP.NET Core، أو فك الضغط التلقائي للاستجابات في HttpClient، أو واجهات Brotli البرمجية في System.IO.Compression”، موضحة أن خاصية فك ضغط “Brotli” غير مفعّلة افتراضياً، ويتعيّن على التطبيقات تفعيلها يدوياً.
تحديثات لأربعة إصدارات
وأطلقت “مايكروسوفت” تحديثات خارج الجدول المعتاد لإصدارات “.NET 8″ (التحديث 8.0.33)، و”.NET 9″ (9.0.22)، و”.NET 10” (10.0.14)، إضافة إلى الإصدار المرشح الثالث من “.NET 11″، داعية إلى “التحديث في أسرع وقت ممكن”.
ورغم نشر نماذج لاستغلال الثغرة على منصة “غيت هاب”، لم تُسجَّل حتى الآن أي تقارير عن استغلالها في هجمات فعلية.
وحذّرت بوابة إلكترونية مخصصة لتتبع الثغرة من أن تحديث مكتبة “Brotli” على مستوى النظام لا يعالج الخطر في التطبيقات التي تتضمن نسختها الخاصة من المكتبة، فيما نُصح من لا يستطيعون تطبيق التحديثات فوراً بحظر الطلبات الواردة المضغوطة بـ”Brotli” عبر خادم وسيط أو جدار حماية، أو تعطيل فك ضغط “Brotli” إلى حين تثبيت التحديث. (BleepingComputer)