كشفت شركة Progress Software عن 31 ثغرة أمنية جديدة في خادم قاعدة البيانات MarkLogic Server، خمس منها مصنفة بالحرجة، وثغرتان منها على وجه الخصوص قد تسمحان لحساب يمتلك صلاحيات إدارية محدودة بالحصول على سيطرة كاملة على الخادم بصلاحيات المسؤول الأعلى. وقد نشرت الشركة تفاصيل هذه الثغرات في 12 أكتوبر، بينما كانت الإصلاحات متاحة منذ 10 سبتمبر في الإصدارين MarkLogic 11.3.7 و MarkLogic 12.1.0.
ثغرتان حرجتان تفتحان الباب للسيطرة الكاملة
حصلت ثلاث من الثغرات الخمس الحرجة على تقييم 9.9 من 10 على مقياس CVSS، بينما حصلت الثغرتان الأخريان على 9.6. وتشترط جميعها أن يكون المهاجم يمتلك بالفعل صلاحية معينة أو وسيلة لتنفيذ تعليمات برمجية على الخادم. الثغرة الأولى CVE-2026-85947 تتطلب صلاحيات إدارة الغابات، وتسمح بإنشاء حساب مسؤول دائم قد يمنح سيطرة إدارية كاملة على الخادم. أما الثغرة الثانية CVE-2026-85948 فتتطلب صلاحيات على مستوى إدارة المستخدمين، وتتيح الحصول على سيطرة إدارية دائمة عبر ثغرة حقن XQuery في مسار واجهة برمجة إدارة مهجورة. وتشمل الثغرة CVE-2026-85955 التي تتطلب وصولاً لتنفيذ الاستعلامات وصلاحية xdmp-eval-in، إمكانية تشغيل تعليمات برمجية من جانب الخادم بصلاحيات مرتفعة.
ثغرات تعتمد على إعدادات النشر
صنفت Progress 24 ثغرة من الثغرات المتبقية بالعالية واثنتين بالمتوسطة. أعلاها CVE-2026-85954 بتقييم 8.6، ويمكن أن تسمح للمهاجم بالحصول على صلاحيات أكثر مما مُنح له عبر تمرير قيم لدوال XQuery معينة. وتنطبق عدة ثغرات فقط عند استخدام ميزة أو منصة محددة، مثل ثغرات المصادقة عبر SAML حيث يمكن لمهاجم غير مصادق عليه أن يجعل الخادم يقبل تأكيداً يجب رفضه CVE-2026-85962، وثغرات OAuth التي تسمح باستخدام رمز مميز لا يجب أن يقبله الخادم CVE-2026-85958، وثغرات Kerberos القائمة على كلمة المرور حيث يمكن لمهاجم على الشبكة انتحال هوية خدمة المصادقة CVE-2026-85972.
تغييرات الترقية وتأثيرها على الأنظمة القائمة
تنصح Progress العملاء بقراءة ملاحظات الترقية والتوافقات غير المتوافقة قبل التحديث. وتشمل التغييرات التي قد تعطل التعليمات البرمجية والأدوات الحالية: فشل الإصدارات الأقدم من MarkLogic Content Pump مع الإصدارات الجديدة بخطأ XDMP-ISOLATED، وإزالة واجهة /manage/v2/packages API ومكونات InfoStudio وOpsDirector، وتغيير الإعدادات الافتراضية بحيث يتم تعطيل معالجة كيانات XML الخارجية افتراضياً وتحويل اتصالات S3 إلى HTTPS افتراضياً. كما تتطلب صلاحية xdmp:eval-in() الآن كل من xdmp-eval-in وxdmp-eval، بينما يحتاج قراءة ترويسات Authorization إلى صلاحية جديدة لا يملكها أي دور مدمج.
وتمثل الثغرات الـ31 الدفعة الثانية التي تكشف عنها Progress لـ MarkLogic خلال 68 يوماً. ففي 5 أغسطس نشرت 10 ثغرات، سبع منها حرجة، إحداها CVE-2026-9192 بتقييم 9.8 وتسمح لمهاجم غير مصادق عليه بتجاوز التحقق من كلمة المرور على خادم ODBC. وفي كلتا الحالتين سبقت الإصلاحات نشر تفاصيل الثغرات، إذ تم إصلاح ثغرات أغسطس في إصدارات مؤرخة 1 و6 يوليو، أي قبل 35 و30 يوماً من ظهور سجلات CVE الخاصة بها، بينما كانت الفجوة هذه المرة 32 يوماً. ولا تذكر سجلات CVE وملاحظات الترقية ما إذا كانت الترقية تزيل حساب مسؤول أُنشئ عبر CVE-2026-85947 قبل التحديث.
مخاطر متبقية بعد الترقية
تبقى بعض المشكلات حتى بعد الترقية، إذ تحتفظ ملفات ErrorLog.txt وAuditLog.txt الحالية بأذوناتها القديمة حتى يتم تدويرها أو إعادة إنشائها. ويحتاج إصلاح Kerberos إلى ملف keytab، وبدونه يسجل الخادم تحذيراً ويتخطى الفحص الجديد. كما أن الثغرة CVE-2026-85959 تعني أن عمليات تسجيل الدخول الناجحة لم تكن تُسجل دائماً في سجل التدقيق، مما قد يحد من قدرة العميل على اكتشاف الوصول غير المصرح به أو إساءة استخدام بيانات الاعتماد والتحقيق فيهما.
