كشفت شركة DepthFirst عن ثغرة خطيرة في نواة لينكس ضمن نظام AF_UNIX socket subsystem، تم توثيقها تحت المعرف CVE-2026-80521، بدرجة خطورة 7.8 وفق مقياس CVSS. الثغرة من نوع Use-After-Free وتسمح للمهاجم بالهروب من بيئة الحاوية (Container Escape) والوصول إلى صلاحيات الجذر على المضيف. رغم أن التصحيح أُدرج في النواة الرئيسية بتاريخ 6 أغسطس 2026، إلا أن توزيعة Ubuntu لم تصدر بعد تحديثاً لمعالجة الثغرة في إصداراتها 26.04، 24.04، و22.04 LTS، ما يترك آلاف الأنظمة عرضة للاستغلال. الأخطر أن شركة DepthFirst نشرت شيفرة استغلال تستهدف Ubuntu 26.04 تحديداً.
آلية الاستغلال والتأثير على الحاويات
الثغرة تكمن في جامع النفايات (Garbage Collector) الخاص بمقابس AF_UNIX، والذي يتولى تنظيف File Descriptors الممررة بين العمليات عبر رسائل SCM_RIGHTS. بسبب حالة سباق (Race Condition) يمكن للجامع أن يحرر جزءاً من مجموعة مقابس مرتبطة دون إزالة المؤشر من القائمة الداخلية، ما يؤدي إلى متابعة المؤشر نحو ذاكرة محررة في الجولة التالية. هذا الخلل يمكن الوصول إليه من داخل الحاويات عبر استدعاءات نظامية عادية، وهو ما يجعله يتجاوز آليات العزل مثل Namespaces وcgroups وseccomp. وبما أن مقابس AF_UNIX مسموح بها افتراضياً في ملفات تعريف Docker وKubernetes، فإن الاستغلال يصبح ممكناً بسهولة من بيئات الحاويات الشائعة.
الإصلاحات المتاحة وحالة Ubuntu
التصحيح الرسمي أُدرج في النواة الرئيسية 7.2 والفرع المستقر 7.1.10، كما شمل الفروع 6.1 و6.6 التي تحتوي على الكود المتأثر. لكن Ubuntu ما زالت تُظهر الحالة “قيد العمل” في متتبعها الأمني، دون تحديد موعد لنشر التحديث. الإصدارات المتأثرة تشمل الحزم المخصصة لبيئات AWS، Azure، وGCP، ما يوسع نطاق الخطر ليشمل البنى التحتية السحابية. حتى الآن لم تُسجَّل هجمات مؤكدة، كما لم تُدرج الثغرة في قائمة CISA KEV، لكن نشر شيفرة الاستغلال يزيد احتمالية استخدامها قريباً.
خلفيات البحث ودلالات أمنية
أوضحت DepthFirst أن نموذجها الذكي dfs-large1، المدرب على كشف الثغرات، هو من اكتشف الخلل إلى جانب أدوات اختبار بشرية. الشركة فازت بمسابقة Google kernelCTF عبر هذا الاستغلال في يوليو، وأبلغت فريق أمن النواة في أغسطس. اللافت أن باحثاً من OpenAI كان قد أبلغ عن نفس الثغرة بشكل مستقل، ما يعكس دور الذكاء الاصطناعي المتزايد في اكتشاف ثغرات النواة. هذا الكشف يأتي ضمن موجة من ثغرات 2026 التي سمحت بالهروب من الحاويات، مثل ثغرة futex في يوليو وثغرة في النظام التشفيري في أبريل، وكلاهما نتج عن أبحاث مدعومة بالذكاء الاصطناعي. وفقاً لـ LinuxCVETracker، تم نشر نحو 5700 ثغرة CVE في نواة لينكس خلال 2026، وهو أعلى رقم سنوي مسجّل حتى الآن.
توصيات الخبراء تشير إلى ضرورة نقل الأحمال غير الموثوقة إلى بيئات microVM مثل Firecracker أو Kata Containers، التي تمنح كل حمل نواة مستقلة، بدلاً من الاعتماد على الحاويات كحد أمني. فبحسب DepthFirst، أصبح من الضروري افتراض أن المهاجمين قادرون على الهروب من الحاويات متى أرادوا.
