ثغرة نواة لينكس CVE-2026-46333: عمرها 9 سنوات وتمنح صلاحيات الجذر لأي مستخدم محلي

كشف باحثو Qualys يوم 20 مايو 2026 عن ثغرة حرجة في نواة لينكس مسجّلة تحت CVE-2026-46333 وأُطلق عليها اسم ssh-keysign-pwn، تسمح لأي مستخدم محلي غير مميّز بتصعيد صلاحياته إلى root وسرقة ملفات حساسة مثل مفاتيح SSH الخاصة وملف /etc/shadow. الأخطر من ذلك أن هذه الثغرة موجودة في النواة منذ نوفمبر 2016 — أي أنها ظلّت كامنة لتسع سنوات كاملة دون اكتشاف.

التفاصيل التقنية لثغرة ssh-keysign-pwn

تكمن المشكلة في دالة __ptrace_may_access() داخل نواة لينكس، وتحديداً في آلية التحقق من صلاحيات العمليات أثناء عمليات ptrace. عندما تقوم عملية ذات صلاحيات عالية (مثل ssh-keysign أو pkexec) بإسقاط بيانات اعتمادها أثناء الخروج، تبقى هناك نافذة زمنية ضيّقة يكون فيها ملف الوصف (file descriptor) الخاص بالعملية متاحاً عبر واجهة pidfd_getfd(2) التي أُدخلت في Linux 5.6.

يستغل المهاجم هذه النافذة الزمنية لنسخ واصفات الملفات المفتوحة من العملية المميّزة قبل أن تُغلق بالكامل. نتيجة هذا السباق الزمني (race condition)، يحصل المهاجم على وصول مباشر لملفات لا يُفترض أن يقرأها مستخدم عادي إطلاقاً.

أربعة مسارات استغلال مؤكّدة

لم تكتفِ Qualys بالإفصاح النظري، بل نشرت أربعة مسارات استغلال عملية تستهدف أدوات نظام شائعة موجودة في التوزيعات الافتراضية:

• ssh-keysign: سرقة مفاتيح SSH الخاصة بالمضيف من /etc/ssh/*_key
• chage: قراءة ملف /etc/shadow واستخراج تجزئات كلمات المرور
• pkexec: تنفيذ أوامر عشوائية بصلاحيات الجذر
• accounts-daemon: اختطاف اتصالات D-Bus مع systemd لتنفيذ أوامر كـ root

أكواد الاستغلال (PoC) متاحة علنياً، مما يعني أن المهاجمين يمكنهم استخدامها فوراً ضد أي خادم لم يُحدَّث بعد.

التوزيعات المتأثرة والتحديثات المتاحة

تتأثر جميع نسخ نواة لينكس منذ الإصدار 4.10-rc1 (نوفمبر 2016). أصدرت التوزيعات الرئيسية تحديثات أمنية بالفعل تشمل Debian وFedora وRed Hat Enterprise Linux وSUSE وAlmaLinux وCloudLinux. حصلت الثغرة على درجة CVSS 5.5، لكن التأثير العملي أعلى بكثير لأن الاستغلال يمنح صلاحيات root كاملة من حساب مستخدم عادي دون أي تفاعل من المدير.

التأثير على المؤسسات المالية السعودية

تعتمد غالبية المؤسسات المالية في المملكة على خوادم لينكس في بنيتها التحتية الحرجة: خوادم التطبيقات المصرفية، وأنظمة قواعد البيانات، ومنصات المدفوعات، وبوابات API. ثغرة كهذه تشكّل تهديداً مباشراً لعدة متطلبات تنظيمية:

بالنسبة لإطار SAMA CSCC، يُلزم البند 3.3.3 المؤسسات بتطبيق إدارة صارمة للتحديثات الأمنية وترقيعها خلال أُطر زمنية محددة حسب خطورتها. كذلك يشترط البند 3.4.1 إدارة الصلاحيات وفق مبدأ أقل الامتيازات — وهو بالضبط ما تنتهكه هذه الثغرة بتحويل مستخدم عادي إلى root.

أما إطار NCA ECC فيتطلب ضمن ضوابط أمن الأنظمة والشبكات إجراء فحص دوري للثغرات ومعالجتها فوراً. ثغرة بهذا العمر والخطورة ستكون من أبرز الملاحظات في أي تدقيق أمني.

من ناحية PDPL (نظام حماية البيانات الشخصية)، فإن سرقة ملف shadow أو مفاتيح SSH يعني وصولاً غير مصرّح به لبيانات المصادقة، وهو انتهاك مباشر لمتطلبات حماية البيانات الشخصية والحساسة.

التوصيات والخطوات العملية

1. تحديث النواة فوراً: طبّق تحديثات النواة من مستودعات توزيعتك الرسمية. التحديثات متاحة لجميع التوزيعات الرئيسية. رتّب الخوادم الحرجة أولاً: خوادم الدفع، وقواعد البيانات، وأنظمة المصادقة المركزية.
2. تقييد ptrace كإجراء مؤقت: إذا كان التحديث الفوري غير ممكن، ارفع قيمة kernel.yama.ptrace_scope إلى 2 (وضع admin-only attach) لحظر مسار الاستغلال عبر pidfd_getfd(2).
3. مراجعة السجلات: ابحث في سجلات النظام عن محاولات ptrace غير معتادة أو وصول مشبوه لملفات /etc/shadow و/etc/ssh/ باستخدام أدوات مثل auditd وOSSEC.
4. تدوير المفاتيح وكلمات المرور: على الخوادم المكشوفة، قم بتدوير مفاتيح SSH الخاصة بالمضيف وأعد تعيين كلمات مرور الحسابات المميّزة كإجراء احترازي.
5. فحص شامل للثغرات: شغّل فحصاً كاملاً على جميع خوادم لينكس لتحديد النسخ المتأثرة. أدوات مثل Qualys VMDR وTenable Nessus وRapid7 InsightVM تكشف هذه الثغرة تلقائياً.
6. تقسيم الشبكة: تأكّد من أن الخوادم الحرجة معزولة بشكل صحيح، لأن الاستغلال يتطلب وصولاً محلياً — تقليل من يصل للخادم يقلّل سطح الهجوم بشكل كبير.

الخلاصة

ثغرة CVE-2026-46333 تذكير صارخ بأن الثغرات الكامنة في المكونات الأساسية للبنية التحتية قد تظل مختبئة لسنوات. الخطورة الحقيقية ليست في درجة CVSS وحدها، بل في سهولة الاستغلال وتوفّر أكواد الهجوم العلنية واتساع نطاق التأثير. المؤسسات المالية السعودية التي تدير بيئات لينكس — وهي الغالبية — تحتاج للتحرك خلال ساعات وليس أيام.

هل مؤسستك مستعدة؟ تواصل مع فريق فنترالينك لتقييم مجاني لمدى النضج السيبراني وفق SAMA CSCC وفحص شامل لثغرات بنيتك التحتية.