Project-CVE-2026-75604

إطار عمل استغلال مبني على بايثون لثغرة CVE-2026-75604، يتيح لمختبري الاختراق المصرح لهم التحقق من ثغرات اجتياز ذاكرة التخزين المؤقت في Next.js على نظام ويندوز، مع دعم نشر القشرة العكسية والقشرة الويب، والتحقق من الهدف، ودعم البروكسي.

وفقًا للإصدار الأمني الرسمي من Next.js:

• تؤثر المشكلة على خوادم Next.js المستضافة على ويندوز والتي تستخدم تكوين Pages Router/App Router ذي الصلة دون Cache Components.
• عمليات النشر على لينكس وmacOS غير متأثرة بهذه الثغرة المحددة.
• لا يوجد حل بديل معروف يعتمد على التكوين فقط لعمليات النشر المتأثرة على ويندوز؛ الترقية مطلوبة.
• تشمل الإصدارات المُصلحة Next.js 15.5.24 و16.3.3.

التقييم الآمن

يجب التعامل مع وضع --check-only المرفق كـفحص لبصمة التقنية، وليس كدليل على أن المضيف معرض للثغرة.

قد يبحث عن مؤشرات مثل:

• ترويسة استجابة X-Powered-By تشير إلى Next.js
• علامات محتوى __next في الصفحة المُعادة
• أصول Next.js الثابتة المتاحة للعموم

النتيجة الإيجابية تشير فقط إلى أن الهدف قد يستخدم Next.js. وهي لا تثبت:

• إصدار Next.js المثبت
• ما إذا كان الخادم يعمل بنظام ويندوز
• ما إذا كان تكوين الموجّه/ذاكرة التخزين المؤقت المتأثر مفعلًا
• ما إذا كان الخادم معرضًا للثغرة
• الإذن بإجراء أي اختبارات إضافية

بالنسبة لبيئات الإنتاج، تحقق من التعرض من خلال جرد الأصول، وتكوين النشر، وملفات package-lock، وSBOMs، أو عملية فحص ثغرات معتمدة—وليس من خلال محاولة تسليم الحمولات.

المعالجة

1. ترقية Next.js فورًا

لعمليات نشر Next.js 15.5:

لعمليات نشر Next.js 16.3:

بعد الترقية، أعد البناء وأعد النشر باستخدام عملية CI/CD المعتادة لديك.

2. تأكيد الإصدار المنشور

تحقق من الإصدار المتتبع في بيان التبعيات لديك:

أيضًا تأكد من أن الأداة/الحاوية المنشورة تستخدم التبعية المحدثة بدلاً من الاعتماد فقط على بيئة التطوير المحلية.

3. إعطاء الأولوية لعمليات النشر على ويندوز

حدد فورًا تطبيقات Next.js ذاتية الاستضافة التي تعمل على:

• ويندوز سيرفر
• أجهزة ويندوز الافتراضية
• حاويات ويندوز
• بيئات استضافة IIS/Node.js المحلية التي تستخدم أنظمة ملفات ويندوز

عامل الأنظمة المكشوفة على الإنترنت بأولوية قصوى.

4. تطبيق تخفيض مؤقت للتعرض

حتى اكتمال التصحيح وإعادة النشر:

• قيّد الوصول العام إلى الخدمات المتأثرة حيثما كان ذلك ممكنًا تشغيليًا
• ضع التطبيق خلف WAF أو وكيل عكسي
• حدد الوصول الوارد إلى نطاقات IP معتمدة أو مستخدمي VPN
• استخدم حسابات خدمة بأقل امتياز لعمليات Node.js
• تأكد من أن عملية التطبيق لا يمكنها الكتابة إلى أدلة النشر أو تنفيذ عمليات فرعية عشوائية
• حافظ على نسخ احتياطية مختبرة وخطة استجابة للحوادث

هذه إجراءات مؤقتة لتقليل المخاطر، وليست بديلاً عن الترقية.

الاكتشاف والاستجابة

حقق في احتمالية الاستغلال إذا كانت خدمة متأثرة مستضافة على ويندوز متاحة على الإنترنت قبل التصحيح.

راجع:

• سجلات خادم الويب، والوكيل العكسي، وCDN، وWAF بحثًا عن أنماط اجتياز مشفرة غير طبيعية
• الطلبات التي تحتوي على تسلسلات مسارات مشبوهة بشرطة مائلة عكسية أو مقاطع نقاط أو ترميز مزدوج
• الطلبات غير المتوقعة إلى مسارات التطبيق الداخلية أو المتعلقة بذاكرة التخزين المؤقت
• ملفات .js أو .cmd أو .bat أو .ps1 أو .exe أو .dll المنشأة أو المعدلة حديثًا
• العمليات الفرعية غير المتوقعة التي يطلقها node.exe
• اتصالات الشبكة الصادرة من مضيف Next.js، خاصة إلى عناوين IP غير مألوفة أو منافذ عالية الرقم
• المهام المجدولة الجديدة، والخدمات، وإدخالات بدء التشغيل، والمستخدمين المحليين، أو ملفات التطبيق المعدلة

إذا اشتبه في حدوث اختراق:

1. اعزل المضيف عن الشبكة.
2. حافظ على السجلات والأدلة المتطايرة.
3. قم بتدوير الأسرار التي قد تكون متاحة للتطبيق.
4. أعد بناء الخادم من صورة موثوقة بدلاً من الاعتماد على التنظيف في المكان.
5. صّحح Next.js قبل إعادة الخدمة إلى الإنتاج.
6. راجع سجلات الوصول للخادم والتطبيق خلال نافذة الحادث.

المراجع

• الإصدار الأمني لـ Next.js أغسطس 2026
• CVE-2026-75604
• برنامج مكافآت الثغرات مفتوح المصدر من Vercel

إخلاء المسؤولية

يُقدم هذا المستودع لأغراض تعليمية وأمنية دفاعية. لا تستخدمه للحصول على وصول غير مصرح به، أو نشر تعليمات برمجية ضارة، أو إنشاء قنوات اتصال، أو استخراج البيانات، أو تعطيل الخدمات.