ثغرة OpenSSH مستغلة على Alpine: CISA تضيف 4 ثغرات إلى KEV

الثغرات الأربع

• OpenSSH (CVE-2026-123158، درجة 8.1): في نسخ OpenSSH قبل 10.6p2 على Linux، عند استخدام musl libc دون PAM، يغيب حل التفافي لخلل تجاوز مصادقة كلمة المرور. ففي بعض إعدادات الحسابات تُقبل أي كلمة مرور طولها بين 256 و1024 حرفاً. ومن أمثلة هذه الأنظمة Alpine Linux.
• GPUStack (CVE-2026-102895، درجة 9.8): مدير عناقيد GPU لتشغيل نماذج AI. قبل النسخة 2.2.0 كان يعامل الطلبات القادمة من 127.0.0.1 كمسؤول، ويمكن تزوير هذا المصدر عبر ترويسة X-GPUStack-Real-IP. والنتيجة وصول إداري دون مصادقة، وكشف أسرار مزودي السحابة، وتنفيذ كود. ورُصد استغلال فعلي ضد النسخة 2.1.1.
• FreeSWITCH (CVE-2026-116779، درجة 9.8): منصة اتصالات برمجية. قبل 1.11.3 يمكن لأي حساب مصادق إرسال رسالة SIP MESSAGE معدّة تنفذ أوامر API، ومنها أوامر نظام التشغيل، بصلاحيات الخدمة. وهي مستغلة فعلياً.
• IBM Aspera Faspex (CVE-2026-123218، درجة 9.8): في النسخ من 5.0.0 حتى 5.0.19، يستطيع مستخدم مصرح له إرسال رسالة معدّة تتجاوز صلاحياته وتمنحه صلاحيات إدارية كاملة.

ماذا تفعل؟

1. OpenSSH: حدّث إلى 10.6p2 أو أحدث، وأعد بناء صور Alpine. والأفضل تعطيل الدخول بكلمة مرور (PasswordAuthentication no) والاعتماد على المفاتيح.
2. GPUStack: حدّث إلى 2.2.0، ولا تكشف واجهته للإنترنت.
3. FreeSWITCH: حدّث إلى 1.11.3، وراجع الحسابات التي لا تملك كلمات مرور.
4. Aspera Faspex: طبّق تحديث IBM بعد 5.0.19.
5. استخدم كتالوج KEV لترتيب أولويات الترقيع لديك.