نُشرت أربع CVEs ضد OpenAI's Codex إلى GitHub Advisory Database في 1 سبتمبر عند 18:30 UTC، بعد أن دخلت عبر NVD لا عبر تحذير من جهة الصيانة. وكل واحدة منها تتعلق بطريقة يحوّل بها .git/config الخاضع لسيطرة مهاجم ميزات Codex المريحة نفسها إلى تنفيذ تعليمات برمجية.

الآلية

CVE-2026-19590 تستغل core.hooksPath لتوجيهه إلى git hooks تابعة للمهاجم. أما CVE-2026-19592 فتستخدم core.fsmonitor، إذ يُنفَّذ المساعد الخاص به أثناء جمع البيانات الوصفية المعتاد. وتستغل CVE-2026-19591 رمز إيقاف التحليل في PowerShell، --%، الذي يقرأه محلل أمان الأوامر على نحو خاطئ، ما يسمح بمرور أمر git غير مُعتمد لكتابة ملفات. بينما تستخدم CVE-2026-19593 السمة attr.tree مع مرشح clean أو process لتشغيل برنامج تابع للمهاجم.

ما يخطئ فيه الإطار الشائع

قد تبدو هذه كأربع ثغرات جديدة. لكن ثلاثة منها أُغلقت في منتصف مايو: فقد دُمجت طلبات السحب الخاصة بالإصلاح في 15 مايو و14 مايو و14 مايو على التوالي، ما يعني أن الشيفرة المنشورة كانت مُصلحة منذ أكثر من ثلاثة أشهر، وأن فجوات الإفصاح تراوحت بين 109 و110 أيام. الخبر هنا هو التأخر والحقول الفارغة، لا انكشاف جديد. أما الفكرة الانعكاسية الثانية — أن العزل الرملي احتوى ذلك — فتتناقض معها نصوص التحذيرات نفسها: فالشيفرة المهاجمة تعمل خارج عزل أوامر Codex الرملي، من دون مطالبة بالموافقة، وفي حالتين من دون أي تفاعل مع النموذج أصلًا. وثالثًا، git clone ليس هو هجوم الاستغلال. فجميع الحالات الأربع تتطلب فتح مستودع وصل فيه .git/config المحلي سليمًا — مثل ملف مضغوط zip أو دليل منسوخ أو وحدة تخزين مشتركة — وهو أمر لا ينقله الاستنساخ العادي.

السجلات لا تقول لك تقريبًا شيئًا

تحمل الحالات الأربع كلها شدة “unknown” ولا تحمل أي درجة CVSS على الإطلاق، سواء في v3 أو v4. والأهم من ذلك، أن مصفوفة vulnerabilities فارغة في جميعها، بحيث لا يذكر أي تحذير نطاقًا متأثرًا أو إصدارًا مُرقَّعًا: لا يوجد أي “قم بالترقية إلى X” في السجل. أما CVE الرابعة فتشير إلى عدم وجود طلب سحب إصلاح أصلًا، ما يترك القارئ غير قادر على تحديد ما إذا كانت قد أُصلحت من السجل نفسه.

النمط الذي تنتمي إليه

هذا هو نموذج التهديد الخاص بالترميز الوكيلي في أنقى صوره. فمُشغِّل التنفيذ هنا هو عنصر الراحة لدى الوكيل — قراءة بيانات git الوصفية تلقائيًا عند فتح مساحة العمل — ويتجاوز العزل الرملي الذي يثق به الجميع قبل أن يُستشار النموذج أصلًا.