أعلنت مؤسسة OpenSSL عن معالجة ثغرة أمنية عالية الخطورة في مكتبتها الشهيرة للتشفير، وهي ثغرة قد تسمح بتسريب محتويات من ذاكرة النظام إلى الطرف الآخر في جلسات الاتصال المعتمدة على بروتوكول DTLS، أو التسبب في انهيار التطبيق المتأثر بشكل كامل. وتحمل الثغرة المعرف الأمني CVE-2026-84782، وقد دفعت الخبراء إلى مطالبة المؤسسات والمسؤولين عن الأنظمة بتحديث البرمجيات المتأثرة بأسرع وقت ممكن.
وتُعد OpenSSL واحدة من أكثر مكتبات التشفير استخدامًا في العالم، إذ تعتمد عليها أعداد هائلة من الخوادم والتطبيقات وأنظمة الشبكات لتأمين الاتصالات عبر الإنترنت، ما يمنح أي ثغرة تُكتشف فيها أهمية استثنائية وتأثيرًا واسع النطاق.
كيف تعمل ثغرة DTLS داخل OpenSSL؟
تستهدف الثغرة بروتوكول DTLS أو Datagram Transport Layer Security، وهو النسخة المصممة للعمل فوق بروتوكول UDP، بخلاف TLS التقليدي الذي يعتمد على TCP. ويُستخدم DTLS في العديد من التطبيقات الحديثة، مثل قنوات نقل البيانات في WebRTC، وكذلك في تأمين المكالمات الصوتية والمرئية عبر الإنترنت وتبادل مفاتيح التشفير.
وتنبع المشكلة من آلية إعادة إرسال رسائل المصافحة Handshake Messages عند عدم تلقي استجابة خلال فترة زمنية محددة. فعندما تكون إحدى رسائل المصافحة الكبيرة قيد الإرسال بشكل جزئي نتيجة ازدحام الاتصال أو تعذر إرسال المزيد من البيانات مؤقتًا، يمكن أن تنشط آلية إعادة الإرسال في الوقت نفسه وترسل رسالة أقدم بطريقة غير صحيحة.
وقبل إصدار التصحيح الأمني، كانت عملية إعادة الإرسال تستخدم موضع الرسالة المتوقفة داخل الذاكرة المؤقتة بدلاً من العودة إلى بداية الرسالة الأصلية المطلوب إعادة إرسالها. ونتيجة لذلك، كانت البيانات المرسلة تحمل وسمًا أو تعريفًا خاطئًا، بينما يحتوي محتواها الفعلي على أجزاء من بيانات أخرى مخزنة في الذاكرة.
ويعني ذلك عمليًا إمكانية انتقال بيانات من ذاكرة النظام Heap Memory إلى الطرف الآخر من الاتصال على هيئة بيانات مصافحة غير مشفرة، وهو سيناريو خطير قد يسمح بالكشف عن معلومات داخلية حساسة. وفي بعض الحالات قد يؤدي تجاوز حدود القراءة في الذاكرة إلى انهيار البرنامج بالكامل.
تقييم الخطورة وتأثيرات محتملة على الأنظمة
صنفت OpenSSL الثغرة عند مستوى “عالٍ” High Severity، وهو المستوى الذي يسبق مباشرة فئة “حرج” Critical ضمن سلم تقييم المشروع الأمني.
من جهتها منحت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA الثغرة درجة 8.2 من 10 وفق نظام CVSS، مع اعتبار تأثيرها على السرية منخفضًا نسبيًا، بينما اعتُبر تأثيرها على التوافر مرتفعًا بسبب احتمالية وقوع هجمات حجب الخدمة الناتجة عن انهيار التطبيقات.
ورغم عدم تسجيل أي عمليات استغلال معروفة للثغرة حتى الآن، فإن غياب أدلة الاستغلال لا يعني انخفاض المخاطر، خاصة أن الثغرة تؤثر على مكون برمجي واسع الانتشار يعتمد عليه عدد ضخم من المنتجات والخدمات.
كما لم تحدد OpenSSL ما إذا كان بإمكان المهاجم إجبار النظام على تنفيذ سيناريو إعادة الإرسال الذي يؤدي إلى التسريب، إلا أن وجود الخلل نفسه دفع الشركة إلى إصدار تصحيحات عاجلة للمستخدمين.
الإصدارات المتأثرة والتحديثات المتاحة
تشمل الثغرة جميع الإصدارات السابقة للإصدارات المصححة ضمن الفروع التالية:
- OpenSSL 4.0 قبل الإصدار 4.0.3
- OpenSSL 3.6 قبل الإصدار 3.6.5
- OpenSSL 3.5 قبل الإصدار 3.5.9
- OpenSSL 3.4 قبل الإصدار 3.4.8
- OpenSSL 3.0 قبل الإصدار 3.0.23
- OpenSSL 1.1.1 قبل الإصدار 1.1.1zj
- OpenSSL 1.0.2 قبل الإصدار 1.0.2zs
وأوضحت المؤسسة أن التصحيحات الخاصة بالفروع القديمة 3.0 و1.1.1 و1.0.2 أصبحت متاحة حصريًا للعملاء المشتركين في برنامج الدعم المدفوع، بعد انتهاء الدعم الأمني العام لهذه الإصدارات.
وتكتسب هذه النقطة أهمية خاصة بالنسبة للمؤسسات التي ما زالت تعتمد على OpenSSL 3.0، إذ توقف تلقي الإصلاحات الأمنية العامة في سبتمبر 2026، ما يفرض خيارين رئيسيين أمام المستخدمين: الانتقال إلى فرع أحدث مدعوم رسميًا، أو الاشتراك في خدمات الدعم التجاري للحصول على التحديثات الأمنية.
توزيعات لينكس تتحرك سريعًا لمعالجة الخطر
باشرت بعض توزيعات لينكس الكبرى توفير تحديثات أمنية لمعالجة المشكلة ضمن حزمها الخاصة.
فقد أعلنت Ubuntu توفير إصلاحات أمنية للثغرة في الإصدارات المدعومة من النظام، بما في ذلك Ubuntu 26.04 LTS وUbuntu 24.04 LTS وUbuntu 22.04 LTS، رغم احتفاظ الحزم بأرقام إصدارات مختلفة عن الإصدارات الرسمية لمشروع OpenSSL.
كما أوصى مطورو Ubuntu المستخدمين بإعادة تشغيل الأنظمة بعد تثبيت التحديثات لضمان تحميل المكتبات الجديدة وتطبيق جميع التغييرات الأمنية.
وفي السياق نفسه، أصدرت Debian تحديثًا أمنيًا لمعالجة الثغرة في Debian 13 عبر الحزمة 3.5.7-1~deb13u3، بينما استمر تسجيل Debian 12 ضمن الأنظمة المتأثرة وقت نشر المعلومات الأمنية.
ولم تكن هذه الثغرة الوحيدة ضمن حزمة إصلاحات سبتمبر 2026، إذ عالجت OpenSSL ثلاثة عشر خللاً إضافيًا، من بينها ثغرة أخرى تحمل المعرف CVE-2026-84783 تؤثر على الإصدار 4.0، ويمكن أن تؤدي إلى تعطيل عمل خوادم وعملاء TLS متعددة الخيوط Threaded Systems في ظروف محددة.
كما تضمنت الإصلاحات ثغرة منخفضة الخطورة أخرى في DTLS تحمل المعرف CVE-2026-75806، إضافة إلى عدد من العيوب المرتبطة بتنفيذ بروتوكول QUIC وقنوات جانبية زمنية في خوارزميات ECDSA وSM2.
ويؤكد هذا السيل من التحديثات أن إدارة التصحيحات الأمنية باتت عنصرًا حاسمًا في حماية البنى التحتية الرقمية الحديثة، خصوصًا عندما يتعلق الأمر بمكونات أساسية مثل OpenSSL التي تُشكّل حجر الأساس في أمن الاتصالات المشفرة عبر الإنترنت.
