---

📋 نظرة عامة

معرّف CVE: CVE-2026-27876
الخطورة: حرجة (CVSS v3.1: 9.1)
تاريخ النشر: 27 مارس 2026
CWE: CWE-94 (التحكم غير السليم في توليد الكود / حقن الكود)

تتيح ميزة SQL Expressions في Grafana (التي أُدخلت/أُعيد تنفيذها في v11.6.0 بصيغة تشبه MySQL) للمستخدمين تحويل بيانات الاستعلام باستخدام SQL مألوفة. ومع ذلك، سمحت هذه الإمكانية عن غير قصد بكتابة ملفات عشوائية على نظام الملفات. وعند ربطها بمكونات محددة (بما في ذلك مكوّن إضافي من Grafana Enterprise)، يؤدي ذلك إلى تنفيذ كود عشوائي عن بُعد (RCE).

يمكن للمهاجمين الذين يمتلكون صلاحيات كافية الكتابة فوق ملفات حرجة (مثل برنامج تشغيل Sqlyze أو إعدادات مصادر بيانات AWS)، مما قد يمنحهم اتصال SSH بمضيف Grafana.

ملاحظة: الميزة الأساسية موجودة في Grafana OSS، لكن سلسلة الاستغلال الكاملة غالبًا ما تتضمن مكوّنات إضافية لإصدار Enterprise. يُنصح جميع المستخدمين بشدة بالتحديث لمنع نواقل الهجوم المستقبلية.

---

⚡ الأثر

• تنفيذ كود عن بُعد على خادم/مضيف Grafana
• احتمال اختراق كامل للنظام (سرقة البيانات، الثبات، الحركة الجانبية)
• سلسلة استغلال مؤكدة يمكن أن تؤدي إلى الوصول عبر SSH
• يؤثر على بيئات المراقبة والتصور ذات الأثر التجاري الكبير

متطلبات الاستغلال:

• يجب أن يكون مفتاح الميزة sqlExpressions مفعّلاً
• يحتاج المهاجم إلى صلاحية تنفيذ استعلامات مصادر البيانات (دور Viewer أو أعلى)

ناقل الهجوم: الشبكة (AV:N)
تعقيد الهجوم: منخفض (AC:L)
الصلاحيات المطلوبة: عالية (PR:H)
تفاعل المستخدم: لا شيء (UI:N)
النطاق: متغيّر (S:C)
السرية/السلامة/التوفر: عالية (C:H/I:H/A:H)

---

📌 الإصدارات المتأثرة

• Grafana v11.6.0 وما بعدها (حتى إصدارات التصحيح)
• تؤثر تحديدًا على المثيلات التي لديها sqlExpressions مفعّلة

تم تسجيل تورط مكوّن Enterprise الإضافي في عدة تقارير لسلسلة الاستغلال الكاملة.

---

✅ الإصدارات المُصحَّحة

قم بالترقية فورًا إلى أحد إصدارات التصحيح التالية:

تتوفر روابط التنزيل على الموقع الرسمي لـ Grafana.

---

🛡️ التخفيف والحلول البديلة

التوصية الأساسية

قم بالترقية إلى إصدار مُصحَّح في أقرب وقت ممكن.

حلول بديلة مؤقتة (إذا تأخرت الترقية)

1. عطّل مفتاح الميزة sqlExpressions (الخطوة الأكثر فعالية)
2. إذا كنت تستخدم Sqlyze: حدّث إلى v1.5.0+ أو عطّله
3. عطّل جميع مصادر بيانات AWS (إن وُجدت)

⚠️ قد تؤثر الحلول البديلة على الوظائف ولا تلغي المخاطر بالكامل في جميع السيناريوهات.

ممارسات إضافية موصى بها

• راجع وقيّد صلاحيات المستخدمين لتنفيذ استعلامات مصادر البيانات
• راجع وقلّل المكوّنات الإضافية المثبّتة
• راقب نشاط الاستعلامات غير المعتاد أو تعديلات الملفات في أدلة Grafana
• طبّق تقسيم الشبكة ومصادقة قوية

---

🕒 الجدول الزمني

• 2025-02-06: أُعيد تنفيذ ميزة SQL Expressions وإصدارها في v11.6.0
• 2026-02-23: أُعلن عن حادثة داخلية؛ وتم إصدار تصحيح لـ Grafana Cloud بعد ذلك بفترة وجيزة
• 2026-03-09: إصدار خاص للعملاء الخاضعين للحظر الإعلامي
• 2026-03-25/26: كشف عام وإصدار أمني
• 27 مارس 2026: نُشر CVE

اكتشفها: لياد إلياهو (رئيس الأبحاث في Miggo Security) عبر برنامج مكافآت الثغرات في Grafana Labs. تم الاعتراف بالإفصاح المسؤول.

---

🔗 المراجع

• مدونة الإصدار الأمني الرسمية لـ Grafana: https://grafana.com/blog/grafana-security-release-critical-and-high-severity-security-fixes-for-cve-2026-27876-and-cve-2026-27880/
• صفحة CVE في Red Hat: https://access.redhat.com/security/cve/cve-2026-27876
• تفاصيل NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-27876
• ذات صلة: CVE-2026-27880 (حجب خدمة DoS بدون مصادقة عبر OpenFeature)

---

📢 ابقَ آمنًا

حدّث مثيلات Grafana لديك اليوم. وراقب القنوات الرسمية لأي تنبيهات لاحقة.