الخلاصة

  • التقرير المحفوظ عن CVE-2025-40778 يسمّي خمس سلاسل إصدار مصحَّحة: BIND 9 في الإصدارات 9.18.41 و9.20.15 و9.21.14، وBIND Supported Preview Edition في الإصدارين 9.18.41-S1 و9.20.15-S1.
  • الجانب المتأثر مذكور فقط بعبارة «various BIND 9 and BIND Supported Preview Edition versions»، من دون أي نطاق، فالسجل يدعم القول بالتصحيح ولا يدعم القول بالتعرّض.
  • سلسلتان من ثلاث تحملان تصحيحاً في إصدار المعاينة، ولا تصحيح مسمّى لسلسلة 9.21؛ وهذا فراغ في القائمة لا حكم على ذلك الإصدار.

الجملة التي تحمل الجوهر التقني قصيرة. التقرير المحفوظ يصف الثغرة بأنها عالية الخطورة، ويضعها في محلِّلات DNS العاملة بـ BIND 9، ويقول إنها قابلة للاستغلال من مهاجمين بعيدين غير مُصادَق عليهم، وإن أثرها التلاعب بمدخلات DNS عن طريق تسميم الذاكرة المؤقتة.

وبعد أسطر قليلة يفعل المستند نفسه ما هو أثقل من تسمية ثغرة: يقسم مسألة الإصدارات إلى شطرين، ويجيب عن شطر واحد فقط.

في جانب التصحيح، الصياغة دقيقة إلى آخر رقم. يعدّد التقرير خمس سلاسل: BIND 9 بالإصدارات 9.18.41 و9.20.15 و9.21.14، ثم BIND Supported Preview Edition بالإصدارين 9.18.41-S1 و9.20.15-S1. ثلاث من هذه السلاسل تأتي من خطوط إصدار مستقلة في BIND 9، واثنتان تحملان اللاحقة -S1 الخاصة بإصدار المعاينة. يستطيع المشغّل أن يعرض هذه القائمة على الإصدار المثبَّت ويحصل على جواب صريح، لأن كل عنصر فيها أثرٌ مُسمّى لا وصفٌ عام.

الدقة تتوقف عند الجانب المتأثر. يقول التقرير نفسه إن الثغرة تصيب «various BIND 9 and BIND Supported Preview Edition versions». هذه الكلمة تشغل الموضع الذي يشغله عادةً نطاق إصدارات، وهي غير قابلة للاختبار. لا شيء في الجملة يخبرنا هل الإصدار الذي يبعد أربع مراجعات عن التصحيح كان متأثراً، ولا هل بدأ التعرّض عند أحدث إصدار فقط.

الآلية تفسّر لماذا تثقل مسألة الإصدار هنا. تسميم الذاكرة المؤقتة يعني أن المُحلِّل يقبل سجلات مُتلاعَباً بها في ذاكرته المؤقتة، ثم يجيب الاستعلامات اللاحقة ببيانات اختارها المهاجم. من هم في المصبّ لا يرون خطأً: يتلقّون أجوبة خاطئة تحمل تماماً مظهر الأجوبة الصحيحة. وحين تكون أعراض العطل غير مرئية، يصبح الإصدار المثبَّت هو المقبض الوحيد القابل للملاحظة قبل أن يقع ما يقع.

هذا يجعل خطأ قراءة محدّداً مكلفاً. قائمة الإصدارات المصحَّحة قائمة خروج، وليست خريطة تعرّض. في الاتجاه الأول تفيد فعلاً: الإصدار الذي يطابق التصحيح المسمّى لخطّه هو إصدار مصحَّح من هذه الثغرة، والحكم يستند إلى سلسلة منشورة لا إلى استنتاج. وفي الاتجاه الثاني تفشل. غياب إصدار قديم من قائمة تصحيحات لا يقول شيئاً عن تعرّضه، لأن المستند لم يذكر يوماً أي الإصدارات كانت متأثرة. ومن يعامل القائمة كاختبار ذي اتجاهين إما يبرّئ مضيفاً متعرّضاً، وإما يعلن تعرّضاً لم يُثبت، وكلتا القراءتين تنتقل إلى سجل التدقيق.

إصدار المعاينة يستحق سطراً مستقلاً، لأن المقارنات الحصيفة تنكسر عنده. اثنان من التصحيحات الخمسة يحملان الأرقام نفسها التي يحملها تصحيح مستقر بلاحقة مختلفة: 9.18.41 إلى جانب 9.18.41-S1، و9.20.15 إلى جانب 9.20.15-S1. الأرقام تتطابق، والأثر لا يتطابق. جردٌ يسجّل الجزء الرقمي وحده يدمج منتجين مختلفين في سطر واحد، وروتين مقارنة يقرأ اللاحقة كمستوى تحديث يقلب العلاقة بينهما، لأن سلسلة المعاينة ليست مراجعة لاحقة للإصدار المستقر. ثم إن التقرير يسمّي تصحيحات معاينة لخطّين من ثلاثة فقط: نشرٌ على خط 9.21 لا يجد في هذا المستند أي تصحيح مسمّى يقارن به. ذلك فراغ في القائمة، وليس حكماً على الإصدار.

التاريخ يحتاج الانضباط نفسه. مسار عنوان التقرير المحفوظ يحمل 28 أكتوبر 2025، ولا يسجّل النص طابع وقت نشر إلى جانبه، فيبقى اليوم غير مؤكَّد، ولا يتعلّق به أي حكم في هذا المقال. المقبض المستقر هو المعرّف CVE-2025-40778: سيظل يشير إلى الثغرة نفسها بعد أن يُنسى تاريخ المقال.

أما للجهة التي ستُسأل لاحقاً عن الترقية، فالدرس الباقي يتعلّق بالحقول التي تُكتب. مذكرة معالجة تستشهد بقائمة إصدارات مصحَّحة تسجّل عملية تثبيت. وهي لا تسجّل تعرّضاً، لأن التعرّض لم يكن حقلاً في المصدر الذي تستشهد به. وحين تسأل مراجعة الحادث بعد ستة أشهر أي الأنظمة كان معرّضاً قبل نافذة التغيير، ستُقرأ تلك المذكرة كأنها أجابت، وهي لم تُجب. تسجيل سلسلة الإصدار كاملة، بما فيها أي لاحقة إصدار، إلى جانب معرّف المستند الذي أذن بالتغيير، لا يكلّف شيئاً يُذكر وقت العمل، وهو الفارق بين إصلاح قابل للتحقّق وإصلاح مقبول الظاهر.

ومدخل الدليل الخاص بـ Internet Systems Consortium هو المرتكز المؤسسي لهذا الصنف من الثغرات، وهذا المقال يلزم عمداً البنية الداخلية لسجل واحد بدل إعادة مسألة حدود الدعم الأوسع. أما نطاقات الإصدارات المتأثرة فعلياً فلم يثبتها هنا التقرير ولا أي مستند آخر تم الحصول عليه: إحدى عشرة محاولة بحث في هذا الموضوع أعادت محتوى مرتين، وفي المرّتين كان هذا التقرير الواحد نفسه، ولم يُحصل على أي إشعار من ISC، ولا مقال في قاعدته المعرفية، ولا وثيقة مرجعية لـ BIND 9 عن إعلان الإصدار، ولا سجل CVE، ولذلك فإن نطاقات الإصدارات المتأثرة بالثغرة CVE-2025-40778 غير مثبتة في المادة التي روجعت هنا فعلاً. وهناك نوعان من المستندات يغيّران هذا التصنيف لا يوسّعانه فقط: إشعار من الجهة المطوّرة أو مقال في قاعدتها المعرفية يذكر النطاقات المتأثرة خطاً بخط، أو سجل CVE موثوق يحمل إعدادات إصدار بنيوية. أيٌّ منهما يحوّل «various» إلى حقل قابل للاختبار، ويصبح هذا التحليل مقارنة لا حدّاً.