الموجز اليومي
ثغرة في برنامج فك تشفير Brotli في Node.js تؤثر أيضاً على Bun و Python وغيرها من البرامج الشائعة الاستخدام...
يتناول التقرير الموجز اليوم أخطاء واسعة النطاق في برنامج فك تشفير Brotli، وتسريب سلسلة التوريد في LiteLLM، وثغرات استغلال نشطة جديدة تم الإبلاغ عنها من قبل CISA.
5 قصة3 دقيقة قراءة
تُهيمن مخاطر سلسلة توريد البرمجيات وعيوب البنية التحتية غير المُعالجة على التطورات الأمنية الحالية. وتواجه المؤسسات التي تعتمد على مكونات مفتوحة المصدر وأجهزة مؤسسية مهام صيانة عاجلة.
أولًا، تؤثر ثغرة أمنية في برنامج فك تشفير Brotli التابع لشركة جوجل، والتي تتسبب في تلف الذاكرة، على أنظمة برمجية واسعة الانتشار، بما في ذلك Node.js وBun وPython وEnvoy. في الوقت نفسه، أضافت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ثغرات أمنية مستغلة بنشاط في Collabora Online وArista VeloCloud Orchestrator إلى قائمة الثغرات الأمنية المعروفة والمستغلة.
ينبغي على فرق الأمن إجراء تدقيق فوري للأسرار المكشوفة في مستودعات المطورين، وتطبيق تصحيحات البائعين لأنظمة المحيط المدرجة في كتالوج CISA، وتحديث تبعيات Brotli عبر البيئات.
مفتاح LiteLLM الرئيسي المسرب يسمح للمهاجمين بسرقة رموز GitHub والسيطرة على مسار الإصدار
أدى تسريب مفتاح رئيسي لمنصة الوكلاء في مستودع عام على منصة GitHub (LiteLLM-Labs/lite-harness) في أواخر مايو 2026 إلى تمكين المهاجمين من سرقة رموز GitHub. واستغل المهاجمون لاحقًا الوصول المسروق لاختراق مسار إصدار LiteLLM ونشر نسخة خبيثة من حزمة Python.
- ماذا تفعل
- قم بتدوير مفاتيح API المكشوفة ورموز GitHub، وقم بمراجعة مسارات إصدار CI/CD، وتحقق من سلامة حزمة LiteLLM.
رصدت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ثغرتين خطيرتين تم استغلالهما بشكل فعال في نظامي Collabora Online و Arista VeloCloud.
أضافت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) الثغرتين CVE-2026-110447 في خادم التعليمات البرمجية المدمج في Collabora Online، وCVE-2026-114625 في Arista VeloCloud Orchestrator، إلى قائمة الثغرات الأمنية المعروفة والمستغلة، وذلك بعد استغلالهما بشكل فعلي في بيئات حقيقية. تسمح هاتان الثغرتان بحقن أوامر نظام التشغيل وحقن قواعد بيانات SQL على التوالي.
- ماذا تفعل
- قم بتحديث خادم CODE المدمج في Collabora Online إلى الإصدار 26.4.303 أو أحدث وقم بتطبيق التصحيحات الخاصة بـ Arista VeloCloud Orchestrator.
ثغرة في برنامج فك تشفير Brotli خلف Node.js، والتي تسمح بتنفيذ التعليمات البرمجية عن بُعد، تؤثر أيضًا على برامج أخرى شائعة الاستخدام مثل Bun وPython
يوجد خلل في الذاكرة في برنامج فك تشفير Brotli الخاص بشركة Google في العديد من البرامج التي تقوم بفك ضغط البيانات المضغوطة بواسطة Brotli، ومن بينها Bun وحزم Python Brotli و brotlicffi و Envoy proxies المُعدة لفك ضغط Brotli.
- لماذا يهم هذا الأمر
- لأن كل تطبيق متأثر يضم نسخته الخاصة من برنامج فك تشفير Brotli من Google، يجب على المؤسسات التي تعتمد على أوقات التشغيل والوكلاء هذه تتبع وتطبيق تحديثات البائعين الفردية لمنع تنفيذ التعليمات البرمجية.
- ماذا تفعل
- قم بتحديث أوقات التشغيل والحزم المتأثرة بما في ذلك تبعيات Bun و Envoy و Python Brotli إلى الإصدارات المصححة.
تقول جوجل إن بيانات Gmail والصور التي تتم مشاركتها مع البحث المدعوم بالذكاء الاصطناعي يمكن استخدامها للإعلانات المستهدفة
قامت جوجل بتحديث سياسة الخصوصية الخاصة بها اعتبارًا من 16 أكتوبر 2026، موضحة أنه يمكن معالجة البيانات المشتركة من صور جوجل وجيميل ودرايف مع ميزات الذكاء الاصطناعي في البحث أو تطبيقات جيميني لتقديم إعلانات مستهدفة.
- لماذا يهم هذا الأمر
- قد يؤدي قيام المستخدمين والمؤسسات بدمج البيانات الشخصية أو بيانات مساحة العمل في ميزات بحث جوجل وجيميني للذكاء الاصطناعي إلى عرض محتوى من جيميل والصور ودرايف لاستهداف الإعلانات المخصصة.
- ماذا تفعل
- راجع إعدادات خصوصية حساب جوجل لتقييد مشاركة البيانات بين الخدمات المختلفة بين تطبيقات Workspace و Search/Gemini.
باحثون يضغطون على أكثر من مليوني تحديث لتعطيل برنامج تحديث Popcorn Time عن بُعد، وهو ما قد يُغذي شبكة بوت نت.
نفّذت شركة الأمن الهولندية "آي سكيورتي" عملية "إكسيم"، حيث أصدرت أكثر من مليوني تحديث عن بُعد لتعطيل برنامج تحديث يعمل في الخلفية (Updater.exe) في تطبيق "تايم فور بوب كورن" المهجور. وقد شكّل النطاق غير المسجل الذي استعلم عنه برنامج التحديث خطرًا كبيرًا يتمثل في إمكانية اختراقه من قِبل شبكة بوتات واسعة النطاق.
- ماذا تفعل
- ابحث عن البرامج القديمة غير المصرح بها مثل Time4Popcorn وقم بإزالتها، واحظر الاتصالات بنطاقات التحديث غير الموثقة.
أبرز النقاط
- قم بتحديث تطبيقات فك تشفير Brotli عبر Node.js و Bun و Python و Envoy لتصحيح ثغرة تلف الذاكرة CVE-2026-111497.
- تم تصحيح Collabora Online Built-in CODE Server (CVE-2026-110447) و Arista VeloCloud Orchestrator (CVE-2026-114625) وفقًا لتحذيرات CISA.