تُرجم من الإنجليزية بواسطة TechUpscale بمساعدة الذكاء الاصطناعي، وتمت مراجعته مقابل النص الأصلي. اقرأ النص الأصلي بالإنجليزية
نشرت قاعدة البيانات الوطنية للثغرات الأمنية (NVD) عدد 8 ثغرات CVE مصنفة بدرجة Critical (حرجة) وفقاً لنظام CVSS v3 خلال الـ 26 ساعة الماضية حتى وقت إعداد هذا التقرير. الأوصاف الواردة أدناه مقتبسة مباشرة من NVD. والدرجات هي الدرجات الأساسية الصادرة عن NVD أو CNA؛ احرص دائماً على التحقق من التنبيه الأمني الصادر عن الشركة المطورة قبل تحديد الأولويات.
ثغرات CVE حرجة (NVD)
| CVE | CVSS | الوصف (NVD) |
|---|---|---|
| CVE-2026-97785 | 10 | يؤدي التحقق غير السليم من الهوية في AAD App Proxy إلى السماح لمهاجم غير مصرح له بتصعيد الامتيازات عبر الشبكة. |
| CVE-2026-83938 | 10 | يؤدي غياب المصادقة لوظيفة حرجة في Azure Kubernetes Configuration Service إلى السماح لمهاجم غير مصرح له بتصعيد الامتيازات عبر الشبكة. |
| CVE-2026-110063 | 10 | تؤدي المعالجة غير السليمة للروابط قبل الوصول إلى الملفات ('تتبع الروابط') في VM Inspector for Azure Virtual Machines إلى السماح لمهاجم غير مصرح له بتصعيد الامتيازات عبر الشبكة. |
| CVE-2026-115384 | 9.9 | يحتوي Wasmtime من الإصدار 39.0.0 قبل 48.0.4 والإصدار 49.0.0 قبل 49.0.2 على ثغرة طفح مخزن مؤقت للمكدس تسمح للأنظمة الضيفة الخبيثة بكتابة نحو 16 كيلوبايت على المكدس الأصلي عبر أنواع نتائج استدعاء غير متزامنة غير متحقق منها. يمكن للمهاجمين تزويد مكونات بدوال استدعاء component-model-async غير متطابقة في النوع للكتابة فوق عناوين العودة، مما يؤدي إلى تعطل النظام المضيف أو الهروب من بيئة الحظر التجريبي. |
| CVE-2026-115375 | 9.9 | يحتوي Incus من الإصدار 7.0.0 قبل 7.0.2 والإصدار 7.1.0 قبل 7.5.0 على ثغرة اجتياز المسار تسمح للعملاء القادرين على إنشاء مثيلات بكتابة ملفات على النظام المضيف. ينبع الخلل من أسماء وحدات التخزين المخصصة التابعة غير المتحقق منها في ملفات index.yaml للنسخ الاحتياطي للمثيل. يمكن للمهاجمين استيراد نسخة احتياطية مصممة خصيصاً للمثيل مع تتابعات ../ في أسماء وحدات التخزين التابعة لإنشاء أدلة مملوكة للمستخدم root بمحتوى خاضع للسيطرة، مما يؤدي إ… |
| CVE-2026-115377 | 9.9 | يحتوي Incus قبل الإصدار 6.0.7، والإصدار 6.1.0 قبل 7.0.2، والإصدار 7.1.0 قبل 7.5.0 على ثغرة كتابة ملفات عشوائية تسمح لمصادر الترحيل الخبيثة بكتابة ملفات على النظام المضيف عن طريق زرع روابط رمزية في وحدات التخزين المنقولة. يمكن للمهاجمين صياغة تدفقات استقبال rsync أو btrfs برابط رمزي مثل rootfs يشير إلى جذر النظام المضيف، مما يتيح كتابة الملفات بصلاحيات root للاختراق الكامل للنظام المضيف. |
| CVE-2022-51026 | 9.8 | يحتوي Bytebase من الإصدار 0.12.0 قبل 1.0.1 على ثغرة تجاوز المصادقة تسمح للمهاجمين غير المصادق عليهم بتسجيل الدخول بأي مستخدم. ينبع هذا الخلل من الوثوق في تكوين موفر GitLab المقدم من جهة العميل في نقطة النهاية POST /api/auth/login/GITLAB_SELF_HOST. يمكن للمهاجمين تعيين instanceUrl إلى خادم يتحكمون به يُرجع مستخدماً نشطاً ببريد إلكتروني من اختيارهم، ليقوم Bytebase بعدها بإصدار رموز جلسة لذلك المـ… |
| CVE-2026-105014 | 9.1 | يؤدي التعطيل غير السليم للعناصر الخاصة المستخدمة في أمر ما ('حقن الأوامر') في Azure Pipelines إلى السماح لمهاجم غير مصرح له بتنفيذ تعليمات برمجية عبر الشبكة. |
تحذيرات جديدة من مراكز CERT والشركات المطورة
Debian
- DSA-6579-1 roundcube – تحديث أمني
- DSA-6580-1 erlang – تحديث أمني
- DSA-6578-1 aide – تحديث أمني
- DSA-6577-1 chromium – تحديث أمني
- DSA-6534-3 webkit2gtk – تحديث لمعالجة تراجع برمجي
Canonical (Ubuntu)
Canadian Centre for Cyber Security
- تحذير أمني بشأن Splunk (AV26-1077)
- تحذير أمني بشأن Atlassian (AV26-1076)
- تحذير أمني بشأن Roundcube (AV26-1075)
- تحذير أمني بشأن GitLab (AV26-1074)
CISA
Microsoft MSRC
- CVE-2026-83938 ثغرة تصعيد الامتيازات في Azure Kubernetes Configuration Service
- CVE-2026-96185 ثغرة تنفيذ تعليمات برمجية عن بُعد في Microsoft Exchange Online
- CVE-2026-110063 ثغرة تصعيد الامتيازات في VM Inspector for Azure Virtual Machines
- CVE-2026-97785 ثغرة تصعيد الامتيازات في AAD App Proxy
- CVE-2026-105014 ثغرة تنفيذ تعليمات برمجية عن بُعد في Azure Pipelines
- CVE-2026-108456 ثغرة تصعيد الامتيازات في Azure AI Foundry
- CVE-2026-96251 ثغرة تنفيذ تعليمات برمجية عن بُعد في Microsoft PowerShell
- CVE-2026-96303 ثغرة تجاوز ميزة الأمان في Microsoft PowerShell
CERT-FR
- ثغرات أمنية متعددة في GitLab (22 أكتوبر 2026)
- ثغرات أمنية متعددة في Node (22 أكتوبر 2026)
- ثغرات أمنية متعددة في منتجات Splunk (22 أكتوبر 2026)
- ثغرات أمنية متعددة في منتجات Cisco (22 أكتوبر 2026)
- ثغرة أمنية في منتجات Mozilla (22 أكتوبر 2026)
- ثغرات أمنية متعددة في ISC BIND (22 أكتوبر 2026)
- ثغرات أمنية متعددة في منتجات SolarWinds (22 أكتوبر 2026)
- ثغرات أمنية متعددة في Oracle Database Server (21 أكتوبر 2026)
- ثغرات أمنية متعددة في Oracle MySQL (21 أكتوبر 2026)
- ثغرات أمنية متعددة في Oracle PeopleSoft (21 أكتوبر 2026)
- ثغرات أمنية متعددة في Oracle Java SE (21 أكتوبر 2026)
- ثغرات أمنية متعددة في Oracle Systems (21 أكتوبر 2026)
- ثغرات أمنية متعددة في Oracle Virtualization (21 أكتوبر 2026)