Google Chrome: تحديث لمعالجة 37 ثغرة أمنية منها 7 حرجة

مقدمة تحليلية

أصدرت Google تحديثات حاسمة لمتصفح Chrome في 13 و14 أكتوبر 2026، لمعالجة 37 ثغرة أمنية، منها سبع مصنفة بـ "حرجة". هذه التحديثات رفعت إصدار Chrome لسطح المكتب إلى 155.0.8059.79/.80 لنظامي Windows و Mac، وإلى 155.0.8059.79 لنظام Linux. كما طُرح الإصدار 155.0.8059.79 لنظام Android، مع وعود بتحسينات في الاستقرار والأداء. يعكس هذا التدخل حجم التحديات الأمنية المستمرة التي تواجه المنتجات البرمجية واسعة الانتشار، ويُجبر المستخدمين على تحديث فوري لتجنب استغلال محتمل لثغرات تتيح تنفيذ تعليمات برمجية عن بعد.

التحديثات ستصل تدريجياً خلال الأيام والأسابيع القادمة، لكن خيار التحديث اليدوي يبقى الأسرع والأكثر أماناً. هذا الإصلاح ليس حدثاً استثنائياً، بل هو تذكير بمدى تعرض المستخدمين لخطر الاختراق المنظم.

التحليل التقني

شملت التحديثات مجموعة من الثغرات، لكن اثنتين منها تستدعيان تدقيقاً خاصاً بسبب خطورتهما وآلية استغلالهما. الأولى هي CVE-2026-110152، وهي ثغرة من نوع تجاوز سعة المخزن المؤقت (buffer overflow) في مكون ANGLE الخاص بـ Chrome على نظام Android. يمثل ANGLE طبقة ترجمة الرسوميات في Chrome. تحدث ثغرة تجاوز سعة المخزن المؤقت عندما يحاول برنامج كتابة بيانات تتجاوز القدرة الاستيعابية للمنطقة المخصصة لها في الذاكرة، مما يؤدي إلى الكتابة فوق البيانات في مناطق الذاكرة المجاورة.

يمكن للمهاجمين استغلال هذه الحالة لتنفيذ تعليمات برمجية خبيثة. الأهم أن هذه الثغرة، المصنفة بـ "حرجة"، تسمح للمهاجمين عن بعد بتنفيذ تعليمات برمجية عشوائية *خارج البيئة المعزولة* (sandbox) للمتصفح، وذلك عبر صفحة HTML معدّة خصيصاً. الثغرات التي تتيح تجاوز البيئة المعزولة في Chrome تعتبر "ذات قيمة خاصة" للمهاجمين لأنها تحوّل زيارة بسيطة لموقع ويب ضار إلى تنفيذ مباشر للتعليمات البرمجية على نظام التشغيل الأساسي، وغالباً دون الحاجة لخطوات استغلال إضافية.

ثغرات Use-After-Free في مكون PDF

كما كشفت Google عن ثغرتين من نوع "use-after-free" في مكون معالجة ملفات PDF، وهما:

• CVE-2026-110136: مصنفة بـ "حرجة"، تتيح لمهاجم عن بعد تنفيذ تعليمات برمجية عشوائية *خارج البيئة المعزولة* عبر صفحة HTML مصممة خصيصاً.
• CVE-2026-110147: مصنفة بـ "عالية الخطورة"، تتيح لمهاجم تنفيذ تعليمات برمجية عشوائية *داخل البيئة المعزولة* عبر صفحة HTML مصممة خصيصاً.

تحدث ثغرة "use-after-free" عندما يحاول برنامج الوصول إلى موقع في الذاكرة بعد أن تم تحريره بالفعل، مما قد يؤدي إلى تعطل البرنامج أو، في بعض الحالات، السماح للمهاجم بتشغيل التعليمات البرمجية الخاصة به. الفرق بين التنفيذ "داخل البيئة المعزولة" و "خارجها" حاسم؛ فالتنفيذ داخل البيئة المعزولة يعني تشغيل التعليمات البرمجية في بيئة مقيدة ومحكمة، مصممة للحد من الوصول إلى بقية الجهاز. هذا يحد من قدرة المهاجم على التأثير، حيث يبقى محصوراً داخل المتصفح، مما يقلل من التأثير مقارنة بتشغيل التعليمات البرمجية خارج البيئة المعزولة. ومع ذلك، فإن المهاجمين غالباً ما يربطون ثغرات متعددة معاً للهروب من البيئة المعزولة وتحقيق اختراق أكثر خطورة.

هذا لا يعني أن الثغرة داخل البيئة المعزولة غير ضارة؛ بل تصف قيوداً أمنية مهمة لا توفر حماية مطلقة.

السياق وتأثير السوق

إن إطلاق Google لتحديثات عاجلة لمعالجة 37 ثغرة أمنية، سبع منها حرجة، ليس مجرد حدث تقني منعزل بل هو جزء من دورة تصحيح أمني مستمرة تميز صناعة البرمجيات. في سوق تتسارع فيه التهديدات السيبرانية، تُظهر هذه الأرقام مدى هشاشة الأنظمة المعقدة حتى لأكبر الشركات. على سبيل المقارنة، لم يكن شهر أكتوبر 2026 سهلاً على أي مطور. فقد سبقت هذه التحديثات إصدار Microsoft لتحديث "Patch Tuesday" الذي عالج رقماً قياسياً بلغ 1,413 ثغرة أمنية، بما في ذلك ثغرة في Windows كانت بالفعل قيد الاستغلال وهما ثغرتا "صفر يوم" (zero-days) أخريان. هذا التباين في الأرقام، 37 لـ Chrome مقابل 1,413 لـ Windows، يسلط الضوء على نطاق المخاطر الأمنية الكلي في أنظمة التشغيل والمتصفحات على حد سواء.

قبل هذه التحديثات، كان ملايين المستخدمين معرضين بشكل مباشر لثغرات تتيح تنفيذ تعليمات برمجية عن بعد خارج البيئة المعزولة، مما يعرض أنظمتهم التشغيلية للخطر المباشر. بعد التحديث، يتوقف الخطر فقط على مدى سرعة المستخدمين في تطبيق الإصلاح. هذا يعني أن الفترة بين اكتشاف الثغرة وتطبيق التصحيح الفعال هي نافذة استغلال حرجة للمهاجمين. لا يمكن للمتصفحات، بما في ذلك Chrome، أن توفر حماية كاملة إذا لم يلتزم المستخدمون بالتحديث الفوري. إن تأخر طرح التحديثات لـ "أيام وأسابيع" يُعد نقطة ضعف منهجية في حماية قاعدة المستخدمين العالمية، ويضع عبء الأمن بشكل غير متناسب على عاتق المستخدم النهائي، بدلاً من ضمان التوزيع الفوري للإصلاحات الحرجة من قبل المطور.