نُشرت ثمانية تنبيهات أمنية لـ nltk — وهي إحدى حزم Python الخاصة بمعالجة اللغة الطبيعية الأكثر تثبيتًا، واعتمادٌ انتقالي عبر أجزاء كبيرة من منظومة أدوات تعلّم الآلة — في 2 سبتمبر. أما التنبيهان المهمان فليسا من نوع الأعطال.
ضابط أمني موجود وموثق لكنه متوقف
CVE-2026-62388 يتعلق بـ pathsec، وهي الوحدة التي أضافتها NLTK كإجراء معالجة لثغرات سابقة في تنفيذ pickle واجتياز المسار. وهي تقرأ مفتاح فرض القيود من متغير بيئة قيمته الافتراضية false، وكل بوابة فيها مكتوبة بحيث إذا كان الفرض متوقفًا فإنها تصدر تحذيرًا وتسمح باستمرار التنفيذ. ويُظهر إثبات المفهوم في التنبيه أن دوال التحقق تُستدعى، ثم تُصدر تحذيرًا، ثم تتابع على أي حال. وأي شخص حدّث الحزمة استجابةً لثغرة pickle الأصلية وافترض أنه بات محميًا لم يكن كذلك، ما لم يكن قد ضبط متغير البيئة أيضًا.
الثغرة التي لا يمكنك ترقيعها
CVE-2026-81726 يغطي واجهات برمجة تطبيقات لملفات النماذج تستخدم الدالة المدمجة open على مسارات نماذج يحددها المستدعي، ما يخرج من العزل حتى عندما يكون الفرض مفعّلًا. ونطاق الإصدارات المتأثرة هو حتى 3.10.3 شاملًا، وحقل الإصدارات المصححة يقرأ None. وعند وقت النشر، فإن 3.10.3 هو الإصدار الحالي على PyPI. لا توجد نسخة يمكن الترقية إليها.
ما يخطئ فيه الإطار الشائع
"ثماني ثغرات جديدة في NLTK، حدّث الآن" يقلب ترتيب المخاطر رأسًا على عقب مرتين. معظم الثغرات الثماني كانت قد صُححت بالفعل في إصدارات نُشرت في يوليو وأغسطس؛ فالتنبيهات تلحق بها فقط، لذا فهذه الدفعة ليست تعرّضًا جديدًا متزامنًا. كما أن الترقية لا تعالج الثغرة المفتوحة فعلًا — فالإصدار الأحدث المنشور يقع ضمن النطاق المتأثر. وهناك فخ ثانٍ أكثر هدوءًا: درجة الخطورة الرئيسية لثغرة الفرض هي CVSS 4.0 من دون نشر متجه إصدار 3.1، لذا فإن قراءتها إلى جانب درجات 3.1 من تنبيهات أخرى يقارن بين مقاييس مختلفة، كما أن المنصة تصنفها على أنها مرتفعة لا حرجة.
نمط اليوم
إن فرضية NLTK المعطلة وفحص DNS الذي يعود نظيفًا عندما يفشل الاستعلام هما الشكل نفسه من الفشل كما في تنبيه الحواجز الوقائية الخاص بـ agent-harness المنشور في اليوم نفسه: ضابط يجيب على "لم أتمكن من التحقق" بـ"تابع." وتغلب على مجموعة ثغرات سلسلة توريد الذكاء الاصطناعي لعام 2026 ثغرات طبقات الأمان التي تُشحن خامدة أو تفشل على وضع الفتح، أكثر من تغلب فساد الذاكرة عليها.