نشرت Elastic التنبيه ESA-2026-114 في 1 سبتمبر. يحمل CVE-2026-72649 درجة أساسية CVSS 3.1 تبلغ 8.8، مع المتجه AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H، وهو CWE-502: إلغاء تسلسل بيانات غير موثوقة يؤدي إلى تنفيذ شيفرة عن بُعد عبر حقن الكائنات. وسيلة الاستغلال هي ملف أثر نموذج التعلّم الآلي المدرَّب نفسه.

نطاق التأثير يشمل كل السلاسل المدعومة

الإصدارات المتأثرة هي 8.0.0 حتى 8.19.19 و9.0.0 حتى 9.4.4، بالإضافة إلى 9.5.0 — أي عمليًا كل إصدار من 8.x و9.x قبل الإصلاح. وهناك بالفعل إصدارات مصححة، وهي محددة بالاسم: 8.19.20 و9.4.5 و9.5.1. وهذه نقطة تستحق أن تُقال بوضوح، لأنه من بين قيود CVE المرتبطة بالذكاء الاصطناعي والمعلن عنها خلال الساعات الأربع والعشرين نفسها، فإن تنبيه Elastic هو الوحيد الذي يذكر للمشغّل أي إصدار آمن.

ما الخطأ في الصياغة الشائعة

الاستجابة الفورية عند رؤية PR:L هي: «موثَّق الدخول، إذن الخطر منخفض». لكن هذا غير صحيح هنا لسبب محدد. فالامتياز المطلوب هو القدرة على نشر نموذج مدرَّب — وفي معظم عمليات نشر Elastic تُفوَّض هذه الصلاحية إلى فريق علم البيانات بدلًا من مسؤولي المجموعات، لأن استيراد نموذج من مستودع عام يُعامل على أنه عملية محتوى لا عملية شيفرة. يفترض الهيكل التنظيمي أن ملفات النموذج بيانات. هذا التنبيه يقول إنها تنفيذية.

البديل ليس قليل الكلفة

الخطأ الانعكاسي الثاني هو قراءة التخفيف على أنه إجراء مؤقت. فالحل البديل الموثق من Elastic هو ضبط xpack.ml.enabled: false على مستوى المجموعة كلها ثم إعادة التشغيل، أو التوقف عن استيراد النماذج المدرَّبة من جهات خارجية. وتعطيل التعلّم الآلي على مستوى المجموعة يوقف ELSER والبحث الدلالي واكتشاف الشذوذ — وبالنسبة إلى جزء كبير من المجموعات، هذا هو المنتج نفسه.

واحدة من نحو تسع عشرة، وهي الوحيدة بدرجة 8.8

أصدرت Elastic هذا ضمن دفعة تضم نحو 19 CVE عبر Elasticsearch وKibana في اليوم نفسه؛ أما البقية فتتراوح بين 4.2 و8.3. وهناك بند آخر مرتبط بالذكاء الاصطناعي، هو CVE-2026-78607 بدرجة 5.4، ويتمثل في غياب التفويض في خدمة الاستدلال المخصصة في Elasticsearch. أما درجة 8.8 فهي الأهم، ومن السهل أن تضيع وسط طرح جماعي.

سلسلة التوريد تصل إلى البنية التحتية السائدة

تدعو Elastic في سير العمل الموثق لديها إلى جلب النماذج من جهات خارجية من Hugging Face. والبديل التخفيفي في التنبيه هو التوقف عن فعل ذلك.