أعلنت شركة F5 المطورة لخادم الويب NGINX عن إصدار تحديثات أمنية جديدة لمعالجة خمس ثغرات أمنية تؤثر على المنصة، من بينها ثلاث ثغرات مرتبطة بالذاكرة قد تؤدي إلى تعطل عمليات الخادم أو ربما تنفيذ تعليمات برمجية عن بُعد، إضافة إلى ثغرة في بروتوكول TLS قد تسمح بتجاوز فحوصات شهادات العملاء، وأخرى تؤثر على آلية معالجة طلبات HTTP/3.
وصدرت الإصلاحات ضمن الإصدارين 1.30.6 و1.31.7 في 14 أكتوبر 2026، وسط تحذيرات للمؤسسات التي تعتمد على NGINX في تشغيل تطبيقاتها وخدماتها الإلكترونية بضرورة الإسراع في تطبيق التحديثات، خصوصًا أن بعض الثغرات تمتد جذورها إلى أكواد موجودة منذ عام 2005.
ورغم عدم وجود تقارير مؤكدة عن استغلال هذه الثغرات فعليًا حتى الآن، فإن تقييمات الخطورة المرتفعة التي منحتها F5 لبعضها، والتي وصلت إلى 9.2 من 10 وفق معيار CVSS v4.0، تجعلها من أبرز التحديثات الأمنية التي صدرت للمنصة خلال عام 2026.
ثلاث ثغرات ذاكرة قد تمهد لتنفيذ أوامر برمجية
تتركز أخطر المشكلات المكتشفة في ثلاث ثغرات تتعلق بإدارة الذاكرة داخل عمليات NGINX العاملة. وتتمثل أولى هذه الثغرات في CVE-2026-15176 التي يمكن أن تؤدي إلى تجاوز حدود الذاكرة Heap Overflow داخل إحدى عمليات الخادم.
وتظهر هذه المشكلة في بيئات تستخدم توجيه alias مع عمليات rewrite وتستدعي المتغير $request_filename خلال معالجة الطلبات. وفي ظروف معينة قد يؤدي ذلك إلى تلف الذاكرة أو تعطل الخدمة، مع احتمال نظري لتحويلها إلى مسار يسمح بتنفيذ تعليمات برمجية على النظام المستهدف.
أما الثغرة الثانية CVE-2026-93479 فتؤثر على آلية map المعتمدة على التعبيرات النمطية Regex، حيث يمكن أن يؤدي التعامل غير الصحيح مع البيانات الملتقطة Captures إلى تجاوز آخر في الذاكرة. وتشير التحقيقات إلى أن هذه الثغرة ظهرت نتيجة تعديلات أمنية سابقة طُبقت خلال يوليو 2026 لمعالجة خلل آخر، ما يجعلها مثالًا على المخاطر التي قد تنشأ أثناء تصحيح الثغرات البرمجية المعقدة.
في المقابل، تستهدف الثغرة الثالثة CVE-2026-97205 آلية الإدخال والإخراج غير المتزامن AIO عند استخدامها بالتزامن مع صفحات SSI التي تعتمد أوامر include virtual. ويؤدي الخلل إلى حالة Use-After-Free تسمح بالوصول إلى مناطق من الذاكرة بعد تحريرها، وهو نوع من الأخطاء الأمنية المعروف بإمكانية التسبب في فساد الذاكرة أو تنفيذ أوامر برمجية في ظروف محددة.
ثغرة TLS قد تتجاوز التحقق من شهادات العملاء
من أكثر الثغرات إثارة للانتباه CVE-2026-97629، والتي تؤثر على آلية إدارة جلسات TLS المستأنفة Session Resumption.
وتعود المشكلة إلى خطأ في آلية التدوير التلقائي لمفاتيح Session Tickets المستخدمة لتسريع إعادة الاتصال المشفر بين العميل والخادم. ووفقًا للتحليل الرسمي، فإن إحدى مناطق الذاكرة الخاصة بالمفاتيح كانت تحتفظ ببيانات غير مهيأة نتيجة خلل في عملية نسخ المفاتيح أثناء التدوير الدوري.
هذا الخلل قد يسمح نظريًا بإنشاء جلسة TLS مزورة يتم قبولها من قبل الخادم، وهو ما قد يؤدي في بعض السيناريوهات إلى تجاوز عمليات التحقق من شهادات العملاء Client Certificates.
ومع ذلك تؤكد F5 أن عملية التزوير هذه غير حتمية وغير قابلة للتحكم الكامل من جانب المهاجم، ما يجعل استغلالها العملي أكثر تعقيدًا مقارنة بالثغرات التقليدية.
وتبرز أهمية هذه المشكلة بسبب ارتباطها بأحد الإعدادات الموصى بها رسميًا داخل وثائق NGINX، وهو:
كما أن الخلل يؤثر فقط في الأنظمة التي تعتمد التخزين المشترك للجلسات دون استخدام مفاتيح معرفة يدويًا عبر ssl_session_ticket_key.
مشكلة HTTP/3 تسمح بتمرير بيانات إضافية للخوادم الخلفية
شملت التحديثات أيضًا إصلاح الثغرة CVE-2026-95101 التي تؤثر على دعم HTTP/3 داخل NGINX.
ويكمن الخلل في معالجة بعض الإطارات Frames غير المعروفة داخل بروتوكول QUIC، حيث يمكن لمهاجم إرسال طلب خاص يؤدي إلى تمرير بيانات إضافية إلى الخوادم الخلفية Backend Servers دون أن تخضع للفحص المعتاد.
وفي بعض السيناريوهات قد تتجاوز هذه البيانات القيود المفروضة بواسطة الإعداد client_max_body_size، ما قد يخلق فرصًا لسوء استخدام التطبيقات أو تجاوز ضوابط التحقق الموضوعة في الطبقات الخلفية.
وتؤثر المشكلة خصوصًا على البيئات التي تستخدم:
وهو الإعداد الافتراضي في NGINX.
خطوات الحماية والتحديث العاجل
تنصح NGINX جميع المستخدمين بالانتقال فورًا إلى:
- NGINX 1.30.6 ضمن الفرع المستقر.
- NGINX 1.31.7 ضمن فرع Mainline.
كما توصي F5 بمراجعة الإعدادات التشغيلية الحالية باستخدام الأمر:
ثم البحث عن العناصر التالية:
- استخدام alias مع rewrite.
- خرائط Regex Map المعقدة.
- تفعيل aio مع صفحات SSI.
- دعم HTTP/3 أو QUIC.
- استخدام ssl_session_cache shared دون ssl_session_ticket_key.
وبالنسبة للمؤسسات التي لا تستطيع تطبيق التحديثات فورًا، أصدرت F5 مجموعة من الإجراءات المؤقتة للحد من المخاطر، منها تعطيل بعض الخصائص المتأثرة أو إزالة الإعدادات المسببة للثغرات حتى إتمام عملية الترقية.
وتكتسب هذه التحذيرات أهمية إضافية بالنظر إلى السوابق الأخيرة المرتبطة بالمنصة. ففي مايو 2026 جرى استغلال إحدى ثغرات NGINX خلال أيام قليلة من الكشف عنها، ما يؤكد أن الفاصل الزمني بين الإعلان عن الثغرات وظهور أدوات الاستغلال الفعلية أصبح قصيرًا للغاية.
كما يمثل هذا الإصدار الأمني الثامن الذي تطلقه NGINX خلال عام 2026، وهو مؤشر على تصاعد وتيرة التدقيق الأمني واكتشاف ثغرات جديدة داخل البنية التحتية التي تعتمد عليها نسبة كبيرة من مواقع وخدمات الإنترنت حول العالم.
