ثغرة في كروم كان المهاجمون يستخدمونها بالفعل

قامت جوجل بإصلاح ثغرة يوم صفر أخرى في كروم تم استغلالها بنشاط، والوقت بدأ ينفد الآن لأي شخص لم يقم بالتحديث. تم إصلاح الثغرة، التي تُعرف باسم CVE-2026-85046، في 4 سبتمبر 2026، لكن وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) أضافتها بالفعل إلى كتالوج الثغرات المستغلة المعروفة (KEV)، مما يمنح الوكالات الفيدرالية حتى 18 سبتمبر لتطبيق التصحيح. هذه النافذة القصيرة هي إشارة قوية إلى مدى جدية مسؤولي الأمن في التعامل مع هذه الثغرة، وهي تذكير بأن مستخدمي كروم العاديين لا ينبغي لهم الانتظار أيضًا.

هذه ليست المرة الأولى التي تتصدر فيها هذه الثغرة المحددة عناوين الأخبار. كما غطينا عندما تم إصدار تصحيح ثغرة يوم الصفر في كروم CVE-2026-85046 لأول مرة، أصدرت جوجل تحديثًا طارئًا بعد تأكيد هجمات في العالم الحقيقي كانت تستغل الثغرة بالفعل قبل توفر الإصلاح. موعد سيسا النهائي يضيف طبقة جديدة من الإلحاح إلى قصة كانت تتحرك بالفعل بسرعة.

ما الذي يجعل CVE-2026-85046 خطيرة

تقع CVE-2026-85046 في V8، محرك جافا سكريبت وWebAssembly الذي يشغل كروم وكل متصفح قائم على Chromium. على وجه التحديد، إنها ثغرة ارتباك نوعي، وهي فئة من الثغرات حيث يخطئ المتصفح في تحديد نوع البيانات التي يعالجها، مما يمكن أن يسمح للمهاجمين بالتلاعب بالذاكرة بطرق لم تكن مقصودة أبدًا. في الممارسة العملية، يعني ذلك أن صفحة ويب مصممة خصيصًا يمكنها تشغيل الثغرة وربما تحقيق تنفيذ تعليمات برمجية عشوائية داخل صندوق الحماية للمتصفح، وهي البيئة المعزولة التي يستخدمها كروم لمنع المحتوى الخبيث من الوصول إلى بقية نظامك.

نظرًا لأن الثغرة كانت تُستغل بالفعل في البرية قبل أن تصدر جوجل إصلاحًا، فإنها تستحق تصنيف يوم الصفر الحقيقي. لم يكن المهاجمون بحاجة إلى هندسة عكسية للتصحيح لمعرفة كيفية إساءة استخدام الثغرة؛ كانوا يستخدمونها بالفعل ضد أهداف حقيقية. هذا هو بالضبط سبب تحرك سيسا بسرعة لإضافتها إلى كتالوج KEV، وهي قائمة مخصصة للثغرات ذات الاستغلال النشط المؤكد وليس الخطر النظري.

وصل الإصلاح كجزء من إصدار أمني أوسع لكروم يعالج ثغرات متعددة، لكن CVE-2026-85046 برزت بسبب حالة استغلالها النشط. كما فصّلنا في تغطيتنا السابقة التي حثت المستخدمين على تحديث كروم الآن بسبب مخاطر الخصوصية، يمكن للاستغلال الناجح أن يعرض نشاط التصفح أو بيانات الجلسة أو معلومات حساسة أخرى لمهاجم يتمكن من تنفيذ تعليمات برمجية داخل متصفحك.

لماذا يهم موعد سيسا النهائي أبعد من الشبكات الحكومية

كتالوج KEV الخاص بسيسا هو تقنيًا تفويض للوكالات المدنية الفيدرالية، لكن تأثيره في العالم الحقيقي يمتد أبعد بكثير. عندما تحدد سيسا موعدًا نهائيًا صارمًا مثل 18 سبتمبر، فإنها تبث فعليًا تصنيف مخاطر لصناعة الأمن بأكملها: هذه الثغرة خطيرة، وهي قيد الاستخدام النشط، ويجب على المؤسسات من كل الأحجام التعامل مع تصحيحها كأولوية وليس كتحديث روتيني يؤجل إلى وقت لاحق.

تستخدم العديد من المؤسسات وأقسام تكنولوجيا المعلومات وفرق الأمن خارج الحكومة كتالوج KEV كمعيار لجداول إدارة التصحيح الخاصة بهم. إذا ظهرت ثغرة في القائمة، فإنها عادة ما تقفز إلى أعلى قائمة الانتظار. بالنسبة للمستخدمين الأفراد، لا يوجد موعد نهائي رسمي، لكن نفس المنطق ينطبق. يقوم كروم بتحديث نفسه بصمت في الخلفية لمعظم المستخدمين، لكن ذلك يعمل فقط إذا أتيحت للمتصفح فرصة لإعادة التشغيل وتطبيق التحديث. إذا كانت لديك نفس علامات تبويب كروم مفتوحة لأيام أو أسابيع دون إعادة تشغيل، فقد لا تزال تعمل بإصدار ضعيف.

ماذا يعني هذا بالنسبة لك

إذا كنت تستخدم كروم، أو أي متصفح قائم على Chromium يرث نفس محرك V8، فهذا يستحق خمس دقائق من انتباهك اليوم. لا يتطلب الاستغلال منك تنزيل ملف أو النقر على رابط مشبوه بالمعنى التقليدي؛ فمجرد زيارة صفحة ويب خبيثة أو مخترقة قد يكون كافيًا لتشغيله. هذا يجعل تصحيح المتصفح واحدة من المهام الأمنية القليلة حيث يكون الإصلاح بالكامل تحت سيطرتك ولا يتطلب أي جهد تقريبًا.

يجب على مستخدمي المنازل والشركات الصغيرة وأي شخص يدير أجهزته الخاصة التعامل مع هذا بنفس الطريقة التي تتعامل بها سيسا مع الشبكات الفيدرالية: كأولوية وليس كمهمة "في وقت لاحق". الخبر الجيد هو أنه على عكس العديد من الثغرات، هذه الثغرة لديها إصلاح متاح ومنتظر بالفعل.

خلاصات قابلة للتنفيذ

  • افتح قائمة كروم، وانتقل إلى المساعدة > حول Google Chrome، ودعه يتحقق من التحديثات. أعد تشغيل المتصفح بمجرد تنزيل التحديث للتأكد من أن التصحيح يسري فعليًا.
  • تحقق من أي متصفحات قائمة على Chromium تستخدمها (بما في ذلك تلك المبنية على نفس المحرك) بحثًا عن تحديثات الأمان الخاصة بها، لأن ثغرة V8 الأساسية يمكن أن تؤثر عليها أيضًا.
  • لا تعتمد فقط على التحديثات التلقائية في الخلفية إذا كنت نادرًا ما تغلق متصفحك أو تعيد تشغيله. التحقق اليدوي يضمن أنك لا تعمل بكود قديم وضعيف.
  • إذا كنت تدير أجهزة لشركة أو مؤسسة، فامنح هذا التصحيح الأولوية بنفس الطريقة التي يشير بها موعد سيسا النهائي إلى أنه يجب على الوكالات الفيدرالية القيام بذلك، حتى لو لم تكن ملزمًا بنفس تاريخ 18 سبتمبر.
  • ابقَ يقظًا للنشرات الأمنية المستقبلية لكروم. ثغرات يوم الصفر مثل CVE-2026-85046 تميل إلى الظهور في مجموعات، ويظل التصحيح الفوري أقوى دفاع متاح للمستخدمين العاديين.

تحديث متصفحك يستغرق لحظة فقط، لكنه يغلق الباب أمام ثغرة كان المهاجمون يستخدمونها بالفعل قبل أن يكون لدى جوجل حتى إصلاح جاهز. هذه الفجوة بين الاستغلال والتصحيح هي بالضبط سبب استحقاق البقاء على اطلاع دائم بتحديثات كروم لمكان دائم في قائمة تدقيق أمانك الرقمي.