أصدرت جوجل (Google) تحديثاً أمنياً طارئاً لمتصفح كروم (Chrome) لمعالجة ثغرة كروم الأمنية الجديدة المُصنَّفة عالية الخطورة، والتي ثبت استغلالها بالفعل في هجمات حقيقية. تحمل الثغرة الرمز CVE-2026-2441، وتُمثّل أول ثغرة من نوع يوم الصفر (Zero-Day) يُعالجها المتصفح منذ مطلع هذا العام.
أكدت جوجل في نشرتها الأمنية الصادرة يوم الجمعة: “جوجل على علم بوجود استغلال فعلي للثغرة CVE-2026-2441.”
فما طبيعة هذه الثغرة؟ وما مدى خطورتها؟ والأهم: كيف تحمي نفسك الآن؟
ما ثغرة CVE-2026-2441 وكيف تعمل؟
وفقاً لسجل التعديلات في مشروع كروميوم (Chromium)، فإن هذه الثغرة من نوع “استخدام بعد التحرير” (Use-After-Free) — وهو أحد أخطر أنواع الثغرات البرمجية. اكتشفها الباحث الأمني شاهين فازم (Shaheen Fazim) وأبلغ عنها جوجل.
السبب التقني
تكمن المشكلة في خلل يُعرف بـإبطال المُكرِّر (Iterator Invalidation) داخل مكوّن يُسمى CSSFontFeatureValuesMap، وهو الجزء المسؤول في كروم عن معالجة قيم ميزات خطوط CSS (CSS Font Feature Values).
ببساطة، يحدث الخلل حين يُحاول المتصفح الوصول إلى بيانات في الذاكرة بعد أن تكون قد حُرِّرت بالفعل. هذا يفتح الباب أمام المهاجمين لاستغلال هذا السلوك غير المتوقع.
ماذا يمكن أن يحدث عند الاستغلال؟
في حال نجاح الاستغلال، قد يتمكن المهاجم من التسبب في:
- تعطيل المتصفح (Crash) بشكل مفاجئ.
- مشكلات في عرض المحتوى (Rendering Issues).
- إتلاف البيانات المُخزَّنة في الذاكرة.
- سلوكيات غير محددة أخرى قد تُستغل لتنفيذ أكواد خبيثة.
هل الإصلاح نهائي أم مؤقت؟
نقطة لافتة تستحق التوقف عندها: وفقاً لرسالة التعديل (Commit Message) في مشروع كروميوم، فإن التصحيح الحالي يُعالج “المشكلة الفورية”، لكنه يُشير إلى وجود “عمل متبقٍّ” مُتتبَّع في تقرير خلل منفصل (Bug 483936078).
هذا يعني أحد أمرين:
- التصحيح الحالي قد يكون حلاً مؤقتاً يسد الثغرة المُستغلة فعلياً، مع الحاجة لإصلاح أعمق لاحقاً.
- قد تكون هناك مشكلات مرتبطة في نفس المكوّن تحتاج إلى معالجة إضافية في تحديثات قادمة.
والجدير بالذكر أن التصحيح وُسم بأنه “مُنتقى” (Cherry-picked) أو مُرحَّل عبر عدة التزامات برمجية، مما يعني أنه كان بالغ الأهمية لدرجة ضمّه إلى إصدار مستقر فوراً بدلاً من الانتظار حتى الإصدار الرئيسي التالي — وهذا إجراء لا تلجأ إليه جوجل إلا حين يكون الخطر فعلياً وقائماً.
تحديث كروم الطارئ – الإصدارات والمنصات
عالجت جوجل الثغرة عبر تحديثات جديدة في قناة سطح المكتب المستقرة (Stable Desktop)، وتُطرح تدريجياً خلال الأيام أو الأسابيع القادمة:
| نظام التشغيل | الإصدار المُحدَّث |
|---|---|
| ويندوز (Windows) | 145.0.7632.75/76 |
| ماك (macOS) | 145.0.7632.75/76 |
| لينكس (Linux) | 144.0.7559.75 |
كيف تُحدِّث كروم الآن؟
لتثبيت تحديث كروم الطارئ يدوياً:
- افتح متصفح كروم.
- انقر على القائمة الرئيسية (النقاط الثلاث) في الزاوية العلوية.
- اذهب إلى المساعدة (Help) ← حول Google Chrome (About Google Chrome).
- سيبحث المتصفح تلقائياً عن التحديثات ويُثبّتها.
- أعد تشغيل المتصفح لتفعيل التحديث.
وإذا كنت تُفضّل عدم التحديث يدوياً، يمكنك ترك كروم يبحث تلقائياً عن التحديثات ويُثبّتها عند إعادة تشغيل المتصفح في المرة القادمة. لكن نظراً لخطورة الثغرة واستغلالها الفعلي، يُنصح بشدة بالتحديث فوراً.
لماذا لم تكشف جوجل تفاصيل الهجمات؟
رغم تأكيد جوجل لوجود استغلال فعلي للثغرة، فإنها لم تُشارك أي تفاصيل إضافية حول طبيعة الهجمات أو الجهات التي تقف خلفها أو الضحايا المُستهدفين. وقد أوضحت الشركة السبب في نشرتها الأمنية:
“قد نُبقي الوصول إلى تفاصيل الثغرة وروابطها مُقيَّداً حتى يُحدِّث غالبية المستخدمين متصفحاتهم. وسنحتفظ أيضاً بالقيود إذا كانت الثغرة موجودة في مكتبة برمجية خارجية تعتمد عليها مشاريع أخرى لم تُصلحها بعد.”
هذا النهج مُتَّبع على نطاق واسع في صناعة الأمن السيبراني، ويهدف إلى منع المهاجمين من استغلال التفاصيل التقنية لشن مزيد من الهجمات قبل أن يتمكن المستخدمون من حماية أنفسهم بالتحديث.
ثغرات يوم الصفر في كروم: نظرة أوسع
هذه الثغرة هي أول ثغرة يوم صفر في كروم مُستغلة فعلياً يُعالجها المتصفح منذ بداية 2026. لكنها ليست ظاهرة جديدة. في العام الماضي وحده، عالجت جوجل ما مجموعه 8 ثغرات يوم صفر مُستغلة في هجمات حقيقية.
كثير من تلك الثغرات اكتشفها فريق مجموعة تحليل التهديدات (Threat Analysis Group – TAG) التابع لجوجل، وهو فريق معروف بتتبع وتحديد ثغرات يوم الصفر التي تُستغل في هجمات برامج التجسس التي تستهدف الأفراد المُعرَّضين لمخاطر عالية كالصحفيين والناشطين والمسؤولين الحكوميين.
| العام | عدد ثغرات يوم الصفر المُعالجة في كروم |
|---|---|
| 2025 | 8 ثغرات |
| 2026 (حتى الآن) | 1 ثغرة (CVE-2026-2441) |
هذا النمط المستمر يُؤكّد أن متصفحات الويب لا تزال هدفاً رئيسياً للمهاجمين، وأن تحديثها بانتظام ليس رفاهية بل ضرورة أمنية.
كلمة أخيرة
ثغرة كروم الأمنية CVE-2026-2441 تذكير جديد بأن التحديثات الأمنية ليست أمراً يمكن تأجيله. الثغرة مُستغلة فعلياً في هجمات حقيقية، وجوجل بادرت بإصدار تصحيح طارئ عبر جميع المنصات الرئيسية. وبينما لا تزال بعض التفاصيل حول الهجمات والإصلاح النهائي غير واضحة، فإن الخطوة الأهم التي يمكنك اتخاذها الآن بسيطة: حدِّث متصفح كروم فوراً.
تجدر الإشارة أيضاً إلى أن الإصلاح الحالي قد يكون مؤقتاً، مع وجود عمل متبقٍّ لمعالجة مشكلات مرتبطة. لذا من الحكمة متابعة التحديثات القادمة والتأكد من تثبيتها أولاً بأول.
هل حدَّثت متصفح كروم بعد قراءة هذا المقال؟ ولا تنسَ مشاركته مع من حولك لضمان حمايتهم أيضاً.
أسئلة شائعة
هي ثغرة أمنية عالية الخطورة من نوع “استخدام بعد التحرير” (Use-After-Free) في مكوّن معالجة خطوط CSS بمتصفح كروم. تُتيح للمهاجمين إمكانية تعطيل المتصفح أو إتلاف البيانات أو تنفيذ سلوكيات غير متوقعة. وقد ثبت استغلالها في هجمات فعلية.
افتح كروم، ثم انقر على القائمة الرئيسية (النقاط الثلاث) ← المساعدة ← حول Google Chrome. سيبحث المتصفح تلقائياً عن التحديث ويُثبّته. أعد تشغيل المتصفح لتفعيل الإصلاح. الإصدار المُحدَّث لنظامي ويندوز وماك هو 145.0.7632.75/76.
وفقاً لسجل التعديلات في كروميوم، الإصلاح الحالي يُعالج المشكلة الفورية، لكن هناك عمل متبقٍّ مُتتبَّع في تقرير خلل منفصل. قد تصدر تحديثات إضافية لمعالجة مشكلات مرتبطة بالكامل.
جوجل تُقيِّد الوصول إلى تفاصيل الثغرة حتى يُحدِّث غالبية المستخدمين متصفحاتهم، وذلك لمنع المهاجمين من استغلال المعلومات التقنية في شن مزيد من الهجمات قبل انتشار التحديث.
هذه أول ثغرة يوم صفر مُستغلة يُعالجها كروم في 2026. في العام الماضي (2025)، عالجت جوجل 8 ثغرات يوم صفر مُستغلة في هجمات فعلية، كثير منها اكتشفه فريق تحليل التهديدات TAG المتخصص في رصد هجمات برامج التجسس.
📡 للمزيد من التغطيات اليومية، استكشف قسم الأخبار عبر موقعنا.
ابقَ دائماً في قلب الحدث التقني! 🔍
انضم الآن إلى نخبة متابعينا على تيليجرام و واتساب لتصلك أهم الأخبار والحصريات فور حدوثها! 💡
