ثغرة لينكس `CVE-2026-53264`: الذكاء الاصطناعي يرفع مستواها إلى Root

مقدمة تحليلية

كشف باحثون في STAR Labs عن استغلال كامل لثغرة `CVE-2026-53264` في نواة نظام التشغيل لينكس، وهي ثغرة Use-after-free صُنفت بخطورة 7.8 وفقاً لـ Linux CNA. هذه الثغرة، التي تكمن في النظام الفرعي للتحكم في حركة مرور الشبكة، تسمح لمستخدم محلي عادي برفع صلاحياته إلى مستوى الجذر. المثير في الأمر هو أن الباحث Lee Jia Jie أكد أن الذكاء الاصطناعي ساعده في اكتشاف العيب وتسريع عملية تطوير الاستغلال بشكل كبير. هذه ليست ثغرة تنفيذ تعليمات برمجية عن بعد (RCE)، بل تتطلب صلاحيات وصول أولية للجهاز المستهدف.

على الرغم من أن الشفرة المصدرية للاستغلال باتت عامة، فإنها تستهدف بشكل خاص إصدار CentOS Stream 9 وتتطلب شروطاً محددة لنجاحها.

التحليل التقني

تكمن الثغرة `CVE-2026-53264` في معالجة دورة حياة إجراءات التحكم في حركة مرور لينكس. تسمح العمليات المتزامنة `RTM_NEWTFILTER` و`RTM_DELTFILTER` بحدوث سباق يؤدي إلى قراءة أحد الخيوط لكائن إجراء بعد أن يكون خيط آخر قد حرره، مما يخلق سيناريو Use-after-free. تصحيح الثغرة الذي وصل في 1 يونيو 2026، ويعالج المشكلة عبر تأجيل عملية التحرير حتى اكتمال جميع القراءات الحالية التي تستخدم تقنية RCU (Read-Copy-Update).

• الثغرة تؤثر على نواة لينكس بدءاً من الإصدار 4.14.
• الإصدارات التي تلقت التصحيح تشمل: 5.10.259، 5.15.210، 6.1.176، 6.6.143، 6.12.94، 6.18.36، و7.0.13، مع دخول التصحيح الرئيسي في الإصدار 7.1-rc7.

آلية الاستغلال ودور الذكاء الاصطناعي

يتطلب الاستغلال الناجح عدة شروط بيئية محددة:

• مساحات أسماء المستخدم غير المتميزة (unprivileged user namespaces).
• تفعيل خيارات النواة `CONFIG_NET_ACT_GACT` و`CONFIG_NET_CLS_FLOWER`.
• سلسلة برمجة موجهة بالعودة (ROP chain) خاصة بالنواة تحتوي على إزاحات محددة.

يبدأ الاستغلال بإنشاء مساحات أسماء مستخدم وشبكة خاصة به، مما يمنحه صلاحيات `CAP_NET_ADMIN` داخل مساحة الاسم المحلية دون الحاجة إلى حقوق مسؤول المضيف. يتم الوصول إلى المسار المعرض للخطر من خلال qdisc من نوع `clsact` وfilter من نوع `flower`. تعمل عمليات `timerfd` و`epoll` على توسيع نافذة السباق، بينما تستعيد تخصيصات الحمولة الرئيسية الكائن المحرر. تقوم سلسلة ROP بعد ذلك بالكتابة فوق `core_pattern`. ثم يضع الاستغلال نسخة من نفسه في `memfd` ويتسبب عمداً في تعطل عملية فرعية، مما يدفع لينكس لتشغيل الثنائي المدعوم بـ `memfd` كمعالج لتفريغ الذاكرة بصلاحيات الجذر في مساحة الاسم الأولية.

أفاد Lee Jia Jie أن الاستغلال نجح في جميع اختباراته العشرة، واستغرق ما بين 9 و111 ثانية على جهاز محمول يعمل بنظام CentOS Stream 9. ساعد الذكاء الاصطناعي في اكتشاف الثغرة، وإنتاج دليل إثبات المفهوم لـ KASAN (Kernel Address Sanitizer)، وتحسين نافذة السباق. ومع ذلك، لم يتم الكشف عن تفاصيل النموذج، المطالبات، الخدمة، أو سجل التفاعل، مما يجعل من الصعب قياس مساهمة الذكاء الاصطناعي بشكل دقيق. أكد Lee أن "الذكاء الاصطناعي لا يزال لديه العديد من النقاط العمياء والفجوات في القدرة على الاستدلال"، وأن الحكم البشري كان ضرورياً طوال عملية التطوير.

السياق وتأثير السوق

تضيّق الشروط المسبقة للاستغلال النطاق الفوري للتهديد العملي لهذه الثغرة، مما يجعلها أقل انتشاراً من تصنيف "استغلال جذر لينكس" العام. ومع ذلك، فإن الإفراج عن الشفرة المصدرية للاستغلال علناً يزيد من الإلحاح على الأنظمة المتوافقة التي لم يتم تصحيحها بعد. لم يتم رصد أي استغلال للثغرة في الواقع حتى تاريخ 28 يوليو 2026، ولم يتم إدراجها في كتالوج CISA للثغرات المعروفة والمستغلة (Known Exploited Vulnerabilities catalog).

أفاد Kyle Zeng، الذي يستخدم المعرف KyleBot، عن الثغرة بشكل مستقل قبل وقت قصير من مسابقة TyphoonPwn 2026. نشر Lee Jia Jie لاحقاً التحليل التقني وشفرة الاستغلال. تفاوتت حالة التوزيع للتصحيحات في 28 يوليو:

• Debian: أدرجت نواة مصححة للإصدارات المستقرة المدعومة.
• Ubuntu: لا يزال يضع علامة على حزم نواة متعددة خاضعة للصيانة على أنها ضعيفة.
• SUSE: أدرجت المشكلة على أنها "قيد الانتظار" عبر منتجات متعددة، وصنفت الثغرة بدرجة 5.5، باستخدام متجه يسجل فقط تأثير التوفر، وهو أقل من تقييم Linux CNA البالغ 7.8.

تشير هذه التتبعات إلى حالة الحزمة، وليس إلى عدد الأنظمة المنتشرة التي تمتلك مساحات الأسماء المطلوبة وخيارات النواة وبناء نواة متوافق. لم تحدد المصادر المراجعة عدد الأنظمة المعرضة للخطر الفوري. ذكر Lee أن العملية المكثفة بالذكاء الاصطناعي جعلت البحث عن الأخطاء "يشعر وكأنني أقوم بتحليل ثغرات n-day حتى على الأخطاء الجديدة تماماً"، مما يشير إلى تسريع كبير في دورة حياة تطوير الاستغلال.

رؤية Glitch4Techs

إن الكشف عن استغلال `CVE-2026-53264` بمساعدة الذكاء الاصطناعي يمثل تحولاً ملموساً في مشهد الأمن الهجومي. إنه يؤكد بوضوح أن الذكاء الاصطناعي ليس مجرد أداة نظرية، بل قادر على تسريع عملية تحويل الثغرات الجديدة إلى استغلالات عملية جاهزة. ومع ذلك، فإن فعاليته محدودة بمدى قدرته على التكيف خارج بيئات البحث المعملية. الدليل المادي على هذا القيد هو أن الاستغلال يتطلب سلسلة ROP خاصة بالنواة تحتوي على إزاحات مبرمجة بشكل ثابت، مما يعني ضرورة إعادة بناء الاستغلال لكل حزمة نواة مختلفة وقد لا يكون قابلاً للتكيف مع بعض البنيات الأحدث.

هذا يحد من انتشاره السريع في بيئات الإنتاج المتنوعة، على الرغم من توفر الشفرة المصدرية علناً. الاستنتاج: الذكاء الاصطناعي يسرّع، لكنه لا يلغي الحاجة إلى الخبرة البشرية في التخصيص الدقيق. هذا ليس عصر الاستغلالات الآلية العالمية، بل عصر المساعدة الآلية المركزة.