Bad Epoll: ثغرة في نواة لينكس تمنح أي مستخدم محلي صلاحية الجذر، الاستغلال موثوق بنسبة 99%

تم اكتشاف ثغرة أمنية خطيرة في نواة لينكس تُعرف باسم Bad Epoll (CVE-2026-46242) تمنح مستخدمًا محليًا عاديًا — ليس لديه أي امتيازات خاصة — القدرة على السيطرة الكاملة على الجهاز كجذر. يحقق استغلال عام موثوقية تبلغ حوالي 99% على الأهداف المُختبرة، مما يجعلها واحدة من أكثر ثغرات تصعيد الامتيازات المحلية عمليةً التي تم الكشف عنها منذ سنوات.

كيف يعمل الاستغلال

Bad Epoll هي خلل استخدام بعد التحرير (use-after-free) في النظام الفرعي epoll للنواة، تحديدًا داخل دالة ep_remove(). يستغل الخلل حالة تسابق (race condition): عندما يتم إغلاق ملف ويحاول جزآن من النواة تنظيف نفس كائن eventpoll الداخلي في وقت واحد، يقوم أحد المسارات بتحرير الذاكرة بينما لا يزال الآخر يكتب فيها. يؤدي هذا التصادم الضيق إلى إفساد ذاكرة النواة ويخلق موطئ قدم يحتاجه المهاجم للانتقال من حساب غير مميز إلى صلاحيات الجذر.

نافذة التسابق تمتد فقط لحوالي ست تعليمات — ضيقة جدًا لدرجة أن معظم أدوات التدقيق الآلي، بما في ذلك تحليل الكود بمساعدة الذكاء الاصطناعي، فشلت في اكتشافها. الباحث الأمني Jaeyoung Chung، الذي اكتشف الخلل أثناء العمل في برنامج kernelCTF من جوجل، أشار إلى أن خللًا ذا صلة في نفس مسار كود epoll الذي يبلغ 2500 سطر (CVE-2026-43074) قد تم اكتشافه سابقًا بواسطة نموذج Mythos AI من Anthropic. كان Bad Epoll هو الخلل الثاني والأدق الذي فاته Mythos.

ما هو المعرض للخطر

أي نظام يعمل بنواة لينكس الإصدار v6.4 أو أحدث يتأثر — وهو ما يغطي الغالبية العظمى من خوادم وأجهزة الكمبيوتر المكتبية الحديثة التي تعمل بلينكس، بالإضافة إلى أجهزة أندرويد. أكد الباحثون أيضًا أن الثغرة يمكن الوصول إليها من داخل صندوق الحماية (sandbox) لمتصفح كروم، مما يعني أن علامة تبويب متصفح مخترقة يمكن استخدامها كخطوة لتحقيق اختراق كامل للنظام.

نظرًا لأن الثغرة تتطلب فقط وصولًا محليًا — وليس تنفيذ كود عن بُعد — فإن التهديد الأكثر فورية هو الهجمات الداخلية، وبيئات الاستضافة المشتركة، وهروب الحاويات حيث يكون لدى المستخدم بالفعل موطئ قدم على الجهاز.

حالة التصحيح: متوفر، لكن ليس على نطاق واسع

تم إصلاح خلل نواة لينكس من المنبع (upstream) في الفرع الرئيسي في 24 أبريل، بعد محاولة تصحيح أولية غير كاملة. على الرغم من ذلك، لم تقم غالبية توزيعات لينكس — بما في ذلك العديد من إصدارات لينكس المؤسسية — بشحن التصحيح المُنقَل (backported) حتى وقت هذا التقرير. يجب على المسؤولين التحقق من النشرات الأمنية لتوزيعاتهم وتطبيق تحديثات النواة المتاحة فورًا. لا يوجد حل بديل عن طريق الإعدادات لأن epoll لا يمكن تعطيله.

من المتوقع أن يقوم موردو أندرويد بتضمين التصحيح في النشرات الأمنية الشهرية القادمة، لكن طرح التحديث سيختلف حسب الجهاز والشركة المصنعة.

ما يجب فعله

يجب على مسؤولي النظام إعطاء الأولوية لتطبيق تحديثات النواة من قنوات الأمان الخاصة بتوزيعاتهم. المؤسسات التي تدير بنية تحتية حاسوبية مشتركة — أجهزة افتراضية سحابية، حاويات، بيئات لينكس مدارة — تواجه أعلى خطر فوري. لحين اكتمال التصحيح، فإن تقييد الوصول إلى الصدفة (shell) للمستخدمين الموثوقين يقلل بشكل كبير من التعرض للخطر.

أصبح الاستغلال عامًا الآن، مما يزيل أي فترة سماح. هذا ليس خطرًا نظريًا.

تم الإبلاغ عن الثغرة لأول مرة بواسطة CyberSecurityNews وتم تأكيدها بواسطة The Hacker News.