تحديث Node.js يصلح 16 ثغرة: HTTP/2 يسقط الخوادم ويسرّب البيانات

النسخ المصلحة متاحة لكل الفروع المدعومة: 22.23.5 و24.22.3 و26.13.1.

أبرز الثغرات

• CVE-2026-123863: يسقط خادم HTTP/2 بإعداداته الافتراضية في الفرعين 24.x و26.x، إذا رد الخادم قبل وصول جسم الطلب كاملاً. ويقول المشروع إن هذا السلوك معتاد، والهجوم يعمل مع TLS ودونه.
• CVE-2026-123866: قد يرسل الخادم للعميل أجزاء من ذاكرته، منها ردود موجهة لاتصالات أخرى. يصيب الفروع الثلاثة، ويستطيع العميل وحده تفعيله ابتداءً من 24.22.0 و26.9.0.
• CVE-2026-123864: في خوادم HTTPS، قد يقرأ عميل غير مصادق ذاكرة اتصالات أخرى، «بما فيها مفاتيح TLS الخاصة». ويتطلب معالجاً يستدعي res.flushHeaders() قبل اكتمال جسم الطلب. وخوادم HTTP العادية المبنية بـ node:http غير متأثرة.

ثغرات عالية أخرى

• CVE-2026-123865: حجز الذاكرة وواصفات الملفات بشكل دائم في أي خادم HTTP/2 افتراضي.
• CVE-2026-123874: إفساد الذاكرة عند تقديم الملفات بـ respondWithFile() أو respondWithFD().
• CVE-2026-126051: إسقاط خادم TLS يستخدم خطافات مثل SNICallback.
• CVE-2026-123872: تجاوز قواعد شهادات العميل أثناء إعادة التفاوض في TLS 1.2.

ماذا تفعل؟

1. حدّث Node.js فوراً إلى النسخة المصلحة لفرعك، ثم أعد بناء صور Docker التي تحتوي نسخة قديمة.
2. أعطِ الأولوية للخوادم التي تستقبل HTTP/2 أو HTTPS مباشرة من الإنترنت دون Reverse Proxy أمامها.
3. إن كان خادمك يستخدم HTTPS مباشرة، ففكّر في تغيير مفاتيح TLS بعد التحديث كإجراء احتياطي.