رصد ثغرة أمنية بالغة الخطورة من نوع «ارتباك الأنواع» في متصفح الويب Microsoft Edge

تم رصد ثغرة أمنية بالغة الخطورة في متصفح Microsoft Edge وتسجيلها تحت المعرّف CVE-2026-62765، مما ينذر مسؤولي النظم والمستخدمين بوجود وسيلة للاستغلال عن بُعد تؤثر على إصدارات المتصفح حتى النسخة 148.0.3967.70. وتنبع هذه المشكلة، الموثقة في تقرير إرشادي نشرته قاعدة بيانات معلومات الثغرات الأمنية VulDB في 27 أكتوبر 2026، من خطأ ارتباك في الأنواع (type confusion) ضمن دالة داخلية غير محددة في متصفح الويب. ورغم أن الرصد الأمني يشير إلى أن الشيفرة البرمجية الصالحة للاستغلال لم تُتداول علنًا بعد، فإن تصنيف الثغرة يسلط الضوء على مخاطر جسيمة تهدد محطات عمل المؤسسات ونقاط النهاية الفردية التي تتصفح بيئات ويب غير موثوقة.

## Key facts

- تحمل الثغرة المرجع القياسي المعتمد CVE-2026-62765 وتم تصنيف مستوى خطورتها بأنه بالغ الخطورة. - تؤثر الثغرة على إصدارات برنامج Microsoft Edge حتى النسخة 148.0.3967.70 وما قبلها عبر أنظمة تشغيل الأجهزة العميلة المدعومة. - تنشأ الثغرة عن حالة ارتباك في الأنواع ضمن دالة برمجية غير محددة، مما يسهل إمكانية التنفيذ عن بُعد. - تؤكد خدمات التتبع التقني عدم تداول أي شيفرة استغلال برمجية فعالة بشكل علني عند تسجيل الإشعار الأولي. - وثّقت منصة بيانات الأمن السيبراني VulDB الإشعار الأمني رسميًا وفهرسته في 27 أكتوبر 2026.

## What happened

كشفت سجلات استخبارات التهديدات الأمنية التي نشرتها VulDB في 27 أكتوبر 2026 أن متصفح Microsoft Edge يحتوي على ثغرة عالية الخطورة مصنفة تحت الرمز CVE-2026-62765. وصُنفت الثغرة الجذرية على أنها خطأ من نوع ارتباك الأنواع، وهي مشكلة معمارية في التعامل مع الذاكرة تنشأ عندما يخصص أحد التطبيقات مساحة في الذاكرة أو ينشئ كائنًا بناءً على تعريف بنيوي معين، ثم يصل إليه لاحقًا أو ينفذه بافتراض تعريف مغاير.

ووفقًا للإشعار الأمني الصادر عن VulDB، يكمن الخلل الأساسي في مكون برمجي غير معلن ضمن بنية المتصفح. وعند استهداف المتصفح عبر حركة البيانات على الشبكة، يتيح هذا الخلل لجهة فاعلة عن بُعد إطلاق معالجة غير صالحة للكائنات دون الحاجة إلى مصادقة مسبقة أو امتيازات إدارية على الجهاز المستهدف. وفي هجمات المتصفحات النموذجية من جانب العميل، يحدث هذا التفاعل عندما يزور مستخدم دون علمه موقعًا ضارًا على الويب أو يحمّل محتوى خارجيًا مخترقًا، مثل النصوص البرمجية أو الإعلانات المضمنة في صفحات تبدو سليمة.

وبيّن التنبيه أن هذا الانكشاف الأمني يشمل إصدارات المتصفح حتى النسخة 148.0.3967.70 من Microsoft Edge. غير أن الوثائق أشارت إلى أن الباحثين وأنظمة القياس عن بُعد الخاصة برصد التهديدات لم يكتشفوا وجود أي شيفرات استغلال وظيفية متداولة في منتديات المطورين العامة أو حزم أدوات الهجوم السيبراني عند فهرسة الثغرة، مما يقلل من احتمالية حدوث عمليات فحص آلي فورية أو استغلال عشوائي واسع النطاق عبر الإنترنت.

## Why it matters

تمثل متصفحات الويب الحديثة سطح الهجوم الأكثر عرضة للاختراق على الإطلاق في بيئات الشركات والحوسبة الشخصية. وعندما تُصنف ثغرة مواجهة للشبكة عن بُعد بأنها بالغة الخطورة، تصبح تداعياتها على فرق أمن المؤسسات ومسؤولي الامتثال ومستخدمي الإنترنت عمومًا فورية وحادة. ففي بيئة سطح المكتب النمطية، يعالج المتصفح باستمرار شيفرات برمجية غير موثوقة—بما في ذلك لغة JavaScript المعقدة، وWebAssembly، وهياكل تنسيق الصفحات—المُرسلة عبر شبكات مفتوحة. ويمكن لخطأ بنيوي ناتج عن ارتباك الأنواع أن يقوض المنطق الداخلي للمتصفح بصورة جذرية، مما يسمح لمحتوى عشوائي يتم تنزيله من الإنترنت بانتهاك سلامة نظام التشغيل.

وعند حدوث ثغرة ارتباك في الأنواع داخل محركات المتصفحات عالية الأداء، فإنها تتيح في كثير من الأحيان للمهاجمين استبدال المؤشرات، وتجاوز آليات الحماية الأصلية لنظام التشغيل مثل Data Execution Prevention وAddress Space Layout Randomization، والإفلات من قواعد بيئة العزل (sandboxing) الصارمة التي تفصل بين علامات تبويب المتصفح ونظام التشغيل العام. وإذا تمكن المهاجم من تحويل هذا الخلل إلى تنفيذ موثوق للشيفرات البرمجية عن بُعد، فإنه يكتسب القدرة على تشغيل تعليمات أصلية ضمن سياق ملف تعريف المستخدم. وفي بيئات المؤسسات، يمكن أن يوفر ذلك موطئ قدم أولي للاختراق، مما يتيح اتخاذ إجراءات ثانوية مثل التحرك الجانبي عبر شبكات الشركات الداخلية، أو الاستيلاء على بيانات الاعتماد من وسائط التخزين المحلية، أو نشر برمجيات فدية.

وبالنسبة لمديري أساطيل أجهزة المؤسسات المسؤولين عن عشرات الآلاف من نقاط النهاية، يفرض وجود خلل طارئ في المتصفح ضغوطًا تشغيلية فورية؛ إذ يتعين على المسؤولين مراجعة توافق الإصدارات، والتأكد من اعتراض قواعد تصفية المحتوى للنصوص البرمجية الخبيثة، والتحقق من عمل آليات التحديث التلقائي في الخلفية بكفاءة عبر أجهزة القوى العاملة عن بُعد والهجينة. أما بالنسبة للمستهلكين الأفراد، فإن هذا الاكتشاف يؤكد الضرورة القصوى لتحديث برامج تصفح الويب باستمرار، حيث نادرًا ما تتطلب تهديدات المتصفحات الحديثة أي إجراء من المستخدم يتجاوز مجرد التصفح المعتاد لتنفيذ حمولاتها البرمجية الخبيثة.

## The background

بُني متصفح Microsoft Edge على قاعدة شيفرة Chromium مفتوحة المصدر، وهي منصة هيكلية مشتركة تدعم أيضًا Google Chrome وBrave وOpera وعديدًا من التطبيقات المدمجة في المؤسسات. وداخل هذه المنظومة المشتركة، تتعامل محركات العرض والبرمجة النصية—وعلى رأسها Blink لتنسيق المستندات وV8 لتنفيذ JavaScript وWebAssembly—مع كميات هائلة من المدخلات غير الموثوقة. ونظرًا لأن تصفح الويب عالي الأداء يتطلب تنفيذ النصوص البرمجية بسرعات تقارب السرعة الأصلية للنظام، تستخدم المحركات الحديثة مترجمات Just-In-Time معقدة تترجم ديناميكيًا النصوص البرمجية المفسرة إلى لغة الآلة الأصلية مع التنبؤ ببنى البيانات وأنواع المتغيرات.

تجعل عمليات التحسين المستمرة هذه ثغرات ارتباك الأنواع إحدى أكثر فئات عيوب المتصفحات استمرارًا وخطورة بين تلك الموثقة على مدار العقد الماضي. ويحدث ارتباك الأنواع عندما يخصص البرنامج مساحة في الذاكرة أو يقرأ منها باستخدام أنواع بيانات غير متطابقة—على سبيل المثال، معاملة عنوان ذاكرة يخزن مؤشر صورة على أنه مصفوفة أعداد صحيحة، أو الخلط في تحديد نموذج كائن معين أثناء مراحل التحسين. وفي عمليات تطوير البرمجيات التقليدية، قد يؤدي مثل هذا الخطأ إلى انهيار غير ضار في التطبيق؛ لكن في سياق بيئة تشغيل تخضع لتحسينات مكثفة مثل محرك المتصفح، يمكن لمطوري الاستغلال المهرة صياغة محتوى ويب متعمد يدفع المحرك إلى قراءة مواقع عشوائية في الذاكرة والكتابة فيها، مما يوفر أدوات تحكم أولية في عمليات القراءة والكتابة.

ويعتمد الإطار العالمي للأمن السيبراني على نظام Common Vulnerabilities and Exposures، الذي تشرف عليه Mitre Corporation جنبًا إلى جنب مع جهات CVE Numbering Authorities المعتمدة، لتوحيد فهرسة نقاط الضعف البرمجية عبر مختلف الشركات المطورة والمنصات. وبمجرد فهرستها، تخضع الثغرات للتقييم بموجب Common Vulnerability Scoring System، الذي يحسب تقييمات رياضية استنادًا إلى مقاييس مثل مسار الهجوم، وتعقيد الهجوم، ومتطلبات تفاعل المستخدم، ونطاق التأثيرات المحتملة على السرية والنزاهة وتوافر الخدمة. وتتضمن الثغرات المصنفة بأنها بالغة الخطورة عادةً سيناريوهات يتمكن فيها مهاجم غير مصرح له يعمل عن بُعد عبر شبكة من تحقيق اختراق كامل بأقل قدر من تفاعل المستخدم.

وتاريخيًا، تلتزم كل من Microsoft وGoogle بجداول إصدار متقاربة لمعالجة العيوب ضمن منظومة Chromium. وتُنشر التحديثات المستقرة الروتينية كل أربعة أسابيع تقريبًا، وتتخللها إصدارات فرعية محددة كلما رُصدت أخطاء برمجية عالية الخطورة أو استغلالات نشطة لثغرات يوم الصفر. فضلًا عن ذلك، تدير كبرى شركات المتصفحات برامج مكافآت واسعة لرصد الثغرات، تمنح باحثي الأمن المستقلين عشرات الآلاف من الدولارات للإبلاغ عن مشكلات تلف الذاكرة وارتباك الأنواع قبل أن تتمكن جهات تطوير برمجيات التجسس التجارية أو الوحدات السيبرانية التابعة للدول من استغلالها كسلاح رقمي.

## Reaction

لم تصدر أي من Microsoft Corporation أو الجهات المسؤولة عن صيانة نواة Chromium بيانًا عامًا مفصلًا يوضح الجدول الزمني للمعالجة الداخلية أو تعديلات الشيفرة البرمجية المحددة المرتبطة بـ CVE-2026-62765. ووفقًا للممارسات التشغيلية المعتادة، تحجب الشركات المطورة للمتصفحات التجارية الإفصاحات التقنية العميقة إلى أن تنتشر التحديثات الفرعية الوقائية عبر نسبة كبيرة من التثبيتات النشطة، تجنبًا لتزويد الجهات الخبيثة بمخطط عملي للهجوم.

وتتابع هيئات الاستجابة للأمن السيبراني، بما في ذلك Cybersecurity and Infrastructure Security Agency الأمريكية وفرق الاستجابة لطوارئ الحاسوب الوطنية في أوروبا وآسيا، مثل هذه الإفصاحات بصورة روتينية. وفي الحالات التي تؤثر فيها مخاطر تنفيذ الشيفرات البرمجية عن بُعد على عائلات المتصفحات الرئيسية، تصدر هذه الوكالات إشعارات تقنية توجه الوكالات الفيدرالية والجهات المشغلة الخاصة لتطبيق معايير الأمان الأساسية دون تأخير. ويُتوقع من مسؤولي أنظمة المؤسسات عبر منتديات القطاع متابعة ملاحظات الإصدار المرتقبة من الشركة المطورة لتأكيد نسخة التصحيح البرمجي المحددة التي تسد هذا المسار.

## What we don't know yet

لا تزال هناك تساؤلات تقنية جوهرية دون إجابة في أعقاب النشر الأولي لسجل الثغرة. فالتقرير الصادر عن VulDB لا يكشف عن النظام الفرعي الدقيق أو الدالة الداخلية التي تحتوي على خلل ارتباك الأنواع، مما يبقي الأمر غير واضح بشأن ما إذا كانت الثغرة ناتجة عن طبقات ميزات Microsoft Edge الخاصة—مثل أدوات الشريط الجانبي أو قارئات PDF أو أدوات المزامنة المؤسسية—أم ضمن مكتبات العرض الأساسية Blink وV8 في مشروع Chromium الأم.

إضافة إلى ذلك، لا يحدد التقرير الباحث الأمني أو المنظمة التي يعود إليها الفضل في اكتشاف الثغرة، كما لا يوضح ما إذا كان الخلل قد اكتُشف أثناء اختبارات الشيفرة الداخلية، أم عبر تقديم ضمن برنامج مكافآت الثغرات المستقل، أم رُصد عبر القياس الدفاعي عن بُعد في البيئة الحية. ورغم تأكيد VulDB عدم ملاحظة أي شيفرة استغلال فعالة وقت النشر، فإن غياب نماذج إثبات المفهوم العامة لا يضمن عدم معرفة مطوري الاستغلال السريين أو الجهات الاستخباراتية الهجومية بهذه الثغرة. وأخيرًا، لا يزال التفصيل الدقيق لدرجة CVSS الأساسية والجدول الزمني الرسمي لتوزيع حزمة التحديث الدائمة عبر جميع قنوات المؤسسات المستقرة غير مؤكدين بعد.

## What to watch

تتمثل المحطة الأبرز الجديرة بالمراقبة على المدى القريب في نشر التقرير الإرشادي الأمني الرسمي من Microsoft وملاحظات إصدار التحديث اللاحقة لقناة Edge المستقرة. ويجدر بمسؤولي تكنولوجيا المعلومات في المؤسسات ترقب الإصدارات البرمجية التي تتجاوز النسخة 148.0.3967.70، مع فحص سجلات التغييرات الصادرة عن الشركة للتحقق من وجود إشارات مباشرة إلى CVE-2026-62765 وإرشادات حول ما إذا كانت هناك خيارات تكوين محددة يمكنها التخفيف من الانكشاف للثغرة قبل تثبيت التحديث.

وسيتابع المراقبون في هذا القطاع أيضًا مستودعات مشروع Chromium الأم وسجل إصدارات Google Chrome لمعرفة ما إذا كانت ستصدر تقارير توجيهية مماثلة لمنظومة Chromium الأوسع. وإذا كانت المشكلة ناتجة عن محرك V8 المشترك، فسيتطلب ذلك إصلاحات متوازية في كافة المتصفحات المعتمدة على Chromium، مما يطلق موجة إصدارات منسقة عبر العديد من ناشري البرمجيات المستقلين. وأخيرًا، سيراقب باحثو الأمن خلاصات استخبارات التهديدات ومستودعات الشيفرات البرمجية على الشبكة المظلمة لضمان عدم ظهور استغلالات إثبات المفهوم قبل أن تحقق أنظمة التحديث التلقائي انتشارًا كافيًا للتصحيحات البرمجية على أجهزة سطح المكتب.

استندت المادة الإخبارية في هذا التقرير إلى معلومات استخباراتية أمنية ووثائق ثغرات نشرتها VulDB.