ابتکار «Patch the Planet» متعلق به OpenAI صفحه‌ای اختصاصی برای راهنمایی درباره آسیب‌پذیری خطرناک Brotli منتشر کرد
ابتکار امنیتی متن‌باز OpenAI صفحه‌ای مستقل برای آسیب‌پذیری بحرانی CVE-2026-111497 منتشر کرده است؛ نقصی در رمزگشای Brotli که اوایل این هفته Node.js را وادار کرد فرایند انتشار وصله‌های اضطراری را آغاز کند. این صفحه اطلاعات مربوط به نرم‌افزارهای آسیب‌پذیر، نسخه‌های اصلاح‌شده و راهکار موقت غیرفعال‌کردن رمزگشایی Brotli را یک‌جا گرد آورده است تا تیم‌هایی که امکان نصب فوری وصله را ندارند، بتوانند خطر را کاهش دهند.
این صفحه که در وب‌سایت patchtheplanet.org منتشر شده، محصول ابتکار Patch the Planet است؛ برنامه‌ای که OpenAI در چارچوب طرح Daybreak و با همکاری شرکت امنیت سایبری Trail of Bits اجرا می‌کند. هدف این صفحه ارائه کشف یا اطلاعات تازه‌ای درباره خود آسیب‌پذیری نیست، بلکه مرجعی به‌روز برای نگه‌دارندگان نرم‌افزار و تیم‌های عملیاتی است تا مشخص کنند آیا زیرساخت‌هایشان در معرض خطر قرار دارد یا نه. انتشار این راهنما در شرایطی اهمیت دارد که دامنه تأثیر این نقص، فراتر از Node.js رفته و ده‌ها ابزار و پلتفرم مبتنی بر آن را نیز دربر گرفته است.
مروری کوتاه بر آسیب‌پذیری
آسیب‌پذیری CVE-2026-111497 ناشی از نوشتن داده خارج از محدوده مجاز حافظه در رمزگشای Brotli است؛ کتابخانه‌ای برای فشرده‌سازی داده که در Node.js گنجانده شده و در بخش بزرگی از وب برای کاهش حجم ترافیک HTTP به کار می‌رود. Node.js در ۲۱ اکتبر وصله‌های رفع این نقص را برای شاخه‌های 22.x، 24.x و 26.x منتشر کرد و هم‌زمان ۹ مشکل امنیتی دیگر را نیز برطرف ساخت. این اقدام پس از آن انجام شد که پژوهشگران نشان دادند مهاجم می‌تواند صرفاً با ارسال داده‌های فشرده و تحت‌کنترل خود به یک فرایند Node.js، این آسیب‌پذیری را فعال کند؛ داده‌هایی که ممکن است در بدنه یک درخواست یا در پاسخ دریافتی از یک منبع دیگر قرار داشته باشند. بهره‌برداری از این نقص می‌تواند به افشای محتوای حافظه یا حتی اجرای کامل کد از راه دور منجر شود. جزئیات انتشار وصله‌های Node.js و اقدامات اضطراری مرتبط با این آسیب‌پذیری
از آنجا که رمزگشایی Brotli در بسیاری از نرم‌افزارهای سمت سرور بی‌سروصدا و در پس‌زمینه انجام می‌شود، دامنه تأثیر این نقص بسیار گسترده از آب درآمده است. پروژه‌های وابسته، از پلتفرم گردش‌کار Trigger.dev گرفته تا سرورهای وب‌میل و ابزارهای توسعه‌دهندگان مانند qlty، برای بهره‌مندی از نسخه اصلاح‌شده محیط اجرایی Node.js، وصله‌های خود را منتشر کرده‌اند. شرکت Vercel نیز در همان روزی که آسیب‌پذیری به‌طور عمومی اعلام شد، برای محافظت از مشتریانش قواعد اضطراری فایروال را به اجرا گذاشت.
Patch the Planet دقیقاً چه کاری انجام می‌دهد؟
Patch the Planet به‌خودی‌خود ابزار جست‌وجوی آسیب‌پذیری نیست، بلکه بخشی از برنامه امنیت سایبری Daybreak متعلق به OpenAI است که بر مرحله کمتر دیده‌شده پس از شناسایی و افشای یک نقص تمرکز دارد: رساندن نگه‌دارندگان نرم‌افزار و پروژه‌های وابسته از مرحله آگاهی از وجود یک شناسه آسیب‌پذیری CVE به مرحله انتشار واقعی وصله اصلاحی. در این برنامه، مهندسان امنیت Trail of Bits به همراه HackerOne و Calif در فرایند افشای مسئولانه و ارزیابی و اولویت‌بندی گزارش‌ها، مستقیماً با نگه‌دارندگان پروژه‌های متن‌باز همکاری می‌کنند. آن‌ها گزارش‌ها را پیش از رسیدن به صندوق ورودی نگه‌دارندگان اعتبارسنجی و موارد تکراری را حذف می‌کنند و سپس در نگارش و آزمایش وصله‌ها نیز کمک می‌کنند.
صفحه مربوط به Brotli دقیقاً در راستای همین مأموریت طراحی شده است: مرجعی واحد و به‌روز که نسخه‌های اصلاح‌شده را معرفی می‌کند و راهکاری عملی برای شرایط اضطراری، یعنی غیرفعال‌کردن رمزگشایی Brotli، در اختیار کسانی می‌گذارد که نمی‌توانند بلافاصله نسخه Node.js خود را ارتقا دهند.
ماه دشوار زیرساخت‌های اینترنتی
آسیب‌پذیری Brotli اتفاقی جداافتاده نبوده است. این نقص در همان هفته‌ای علنی شد که PHP برای رفع دو آسیب‌پذیری بحرانی، پس از افشای جزئیات آن‌ها در اینترنت پیش از آماده‌شدن وصله‌ها، به انتشار اصلاحیه اضطراری روی آورد. شدت یکی از آن مشکلات به حدی بود که نخست‌وزیر ژاپن و اداره تحقیقات فدرال آمریکا (FBI) هشدارهای عمومی درباره آن منتشر کردند. به گفته مدیرعامل Cloudflare، تعداد تلاش‌ها برای بهره‌برداری از این آسیب‌پذیری نیز تنها ظرف چند ساعت پس از افشای آن، از چند هزار مورد به چند میلیون مورد افزایش یافت. انتشار وصله اضطراری PHP برای دو آسیب‌پذیری بحرانی، هشدارهای نخست‌وزیر ژاپن و FBI درباره آسیب‌پذیری PHP و افزایش سریع تلاش‌ها برای بهره‌برداری از این نقص.
تقریباً در همین زمان، پلتفرم ابری Railway از یک رخنه امنیتی خبر داد که ممکن بود اطلاعات محرمانه مشتریان را در معرض افشا قرار داده باشد. همچنین وصله Node.js همراه با به‌روزرسانی گواهی ریشه منتشر شد؛ اقدامی که به‌دلیل نفوذ به مرجع صدور گواهی هند، eMudhra، ضرورت پیدا کرده بود. این ماجرا از آن زمان تاکنون حدود ۱٬۴۵۰ کرور روپیه از ارزش بازار این شرکت کاسته است. گزارش رخنه امنیتی Railway و توقف استقرارها، شرح ماجرای نفوذ به مرجع صدور گواهی eMudhra و کاهش حدود ۱٬۴۵۰ کرور روپیه از ارزش بازار eMudhra.
شدت و گستردگی این موج از حوادث به اندازه‌ای بوده که چهره‌های سرشناس صنعت نیز برای توصیف آن از تعابیر کم‌سابقه استفاده کرده‌اند. در جریان مجموعه اخیر رخدادهای امنیتی، مارک بنیاف، مدیرعامل Salesforce، و توبی لوتکه، مدیرعامل Shopify، هر دو علناً درباره شرایط هشدار دادند. لوتکه حتی این مقطع را یکی از بدترین روزهای امنیت سایبری در مدتی طولانی توصیف کرد. با توجه به انتشار بی‌وقفه به‌روزرسانی‌ها و گزارش‌های سازمان‌های مختلف در سراسر جهان، به نظر می‌رسد این موج حوادث به این زودی‌ها فروکش نکند. اظهارنظر مدیران Salesforce و Shopify درباره موج اخیر حوادث امنیتی.