تنبيه أمني من مركز الاستجابة الأمنية كارن آي تي

رقم الإرشاد: KSRC-2026-011 | تاريخ النشر: 12 نوفمبر 2026

تنفيذ التعليمات البرمجية عن بُعد غير المصادق عليه في React Server Components
CVE-2026-126187

الملخص

تم اكتشاف ثغرة حرجة في إلغاء تسلسل البيانات (deserialization) ضمن حزم نقل React Server Components (RSC). تحمل هذه الثغرة المعرّف CVE-2026-126187 وتسمح لمهاجم عن بُعد غير مصادق عليه بتحقيق تنفيذ التعليمات البرمجية عن بُعد على الخوادم التي تستخدم React Server Components مع تكاملات bundler معينة.

تم تقييم الثغرة بدرجة خطورة 9.5 (حرجة) وفق معيار CVSS v4.0. تؤثر على الحزم react-server-dom-webpack وreact-server-dom-parcel وreact-server-dom-turbopack في خطوط الإصدار 19.x المحددة. صدرت الإصدارات المُصلحة في 14 أكتوبر 2026، وتم تخصيص معرّف CVE في 10 نوفمبر 2026. مواد إثبات المفهوم متاحة علناً.

نظرة تقنية

الثغرة هي ضعف في إلغاء تسلسل البيانات غير الموثوق بها (CWE-502) في مسار معالجة حمولة React Server Components. عندما ينقل استجابة الخادم عدة مصفوفات مكتوبة (typed arrays) مع قيمة يتحكم فيها المهاجم، يمكن لحمولة مصممة خصيصاً أن تؤدي إلى تنفيذ تعليمات برمجية عشوائية في سياق عملية خادم Node.js.

وفقاً لمشروع React، فإن الشرط القابل للاستغلال يقتصر على حالات نادرة للغاية. التطبيقات التي لا تستخدم React Server Components، أو التي لا تستخدم إطار عمل أو bundler أو إضافة تدعم RSC (مثل webpack أو Parcel أو Turbopack)، غير متأثرة. تطبيقات React التي تعمل على جانب العميل فقط غير متأثرة.

تطبيقات Next.js التي تعتمد على الحزم المتأثرة (خصوصاً Next.js من 16.0.0 حتى 16.4.0) ضمن النطاق أيضاً ويجب ترقيتها إلى الإصدار المُصلح المقابل.

الأنظمة المتأثرة

• react-server-dom-webpack وreact-server-dom-parcel وreact-server-dom-turbopack:
  • من 19.0.0 حتى 19.0.8
  • من 19.1.0 حتى 19.1.9
  • من 19.2.0 حتى 19.2.8
  • 19.3.0
• Next.js من 16.0.0 حتى 16.4.0 (عند استخدام حزم RSC المتأثرة)

الإصدارات المُصلحة:

• حزم React RSC: 19.0.9 و19.1.10 و19.2.9 و19.3.1
• Next.js: 16.4.1 أو أحدث

حالة الاستغلال

• نشر الإرشاد الأمني والحزم المُصلحة من مشروع React في 14 أكتوبر 2026.
• تخصيص معرّف CVE في 10 نوفمبر 2026.
• مواد إثبات المفهوم متاحة علناً.
• لم يتم تأكيد استغلال واسع النطاق في الطبيعة حتى تاريخ نشر هذا الإرشاد.
• لم تُدرج بعد في كتالوج CISA للثغرات المستغلة المعروفة (KEV).

التوصيات

1. الإجراء الفوري: قم بترقية حزم React Server Components المتأثرة إلى الإصدارات المُصلحة المذكورة أعلاه (19.0.9 أو 19.1.10 أو 19.2.9 أو 19.3.1 حسب خط الإصدار).
2. إذا كنت تستخدم Next.js 16.x، فقم بالترقية إلى 16.4.1 أو أحدث وتحقق من أن حزم react-server-dom-* الأساسية أيضاً في إصدار مُصلح.
3. راجع package.json وملفات القفل بحثاً عن أي اعتماد مباشر أو غير مباشر على الحزم الضعيفة وأجبر الحل على إصدار مُصلح عند الحاجة.
4. أعد نشر التطبيقات بعد تحديث الاعتماديات لضمان تحميل الحزم المُصلحة في بيئة الإنتاج.
5. راجع سجلات التطبيق والمراقبة بحثاً عن سلوك غير طبيعي من جانب الخادم أو نشاط غير متوقع للعمليات حول وبعد فترة الإفصاح.
6. لا يوجد حل مؤقت موثوق يعتمد على التكوين فقط موثّق من قبل المورد؛ الترقية هي المعالجة المطلوبة.
7. في حال الاشتباه في حدوث اختراق، تعامل مع البيئة على أنها مخترقة: اعزل المضيفات المتأثرة، واحفظ الأدلة الجنائية، ودوّر الأسرار وبيانات الاعتماد المتاحة لعملية Node.js، وقم بمراجعة شاملة للسلامة.

على الرغم من أن مشروع React يصف الشرط القابل للاستغلال بأنه نادر، إلا أن الجمع بين تنفيذ التعليمات البرمجية عن بُعد غير المصادق عليه، وتوفر إثبات المفهوم العلني، والانتشار الواسع لـ React وNext.js يبرر التعامل مع هذا كتحديث ذي أولوية عالية لأي مؤسسة تشغّل React Server Components في الإنتاج.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.