צוות Bytecode Alliance פרסם ב-19 באוקטובר 2026 שתי התראות אבטחה על קומפיילר Cranelift שבתוך Wasmtime. בשתיהן מודול WebAssembly זדוני עלול לגרום ליצירת קוד מכונה שגוי ולצאת מה-sandbox. לפי המתחזקים לא דווח על ניצול בפועל.
| מזהה | CVE-2026-115889 | CVE-2026-115893 |
| היקף | כל הארכיטקטורות | ARM64 בלבד |
| חומרה (CVSS) | 9.9 (קריטית) | 9.9 (קריטית) |
| גרסאות מושפעות | לפני 36.0.19, וכן 37.0.0 עד 42.x | לפני 36.0.19, 37.0.0 עד 48.0.6, ו-49.0.0 עד 49.0.3 |
| מנוצל בפועל | לא דווח | לא דווח |
| תיקון | 36.0.19, 48.0.7, 49.0.4, 50.0.0 | 36.0.19, 48.0.7, 49.0.4, 50.0.0 |
מה קרה
ב-CVE-2026-115889 שדות פנימיים של Cranelift היו ברוחב 24 ביט, וגלישה בגרסאות release לא זוהתה. פונקציות גדולות או מוכנות במיוחד עלולות לגרום לבלבול טיפוסים וליצירת קוד שגוי. התיקון הרחיב את השדות ל-32 ביט.
ב-CVE-2026-115893, ב-ARM64, אינדקס חורג בפקודת br_table הופנה לענף שטווחו כמגה-בייט אחד. בטבלאות עם יותר מכ-256 אלף יעדים הקפיצה הגיעה למקום שגוי בשקט. הגרסאות המתוקנות דוחות טבלאות עם יותר מ-65,520 יעדים. מארחי ARM64 שעודכנו באפריל בגלל בריחה קודמת מסוג דומה עדיין חשופים לפגיעות הזו.
נקודות לשים לב
- הסיכון הממשי הוא בשירותים שמקמפלים מודולים שמגיעים מגורם חיצוני. אם אתה מריץ רק קוד שלך, החשיפה נמוכה בהרבה.
- Wasmtime משמש כספרייה: עדכון ה-CLI לא מתקן עותקים משובצים. יש לבנות מחדש כל תוכנה שכוללת אותו, ולבדוק שהיא משתמשת בגרסה מתוקנת (
cargo auditמכסה את RUSTSEC-2026-0379 ו-RUSTSEC-2026-0380). - קו 24.x יצא מתמיכה ב-20 באוגוסט 2026 ולא קיבל תיקון; יש לעבור לגרסה נתמכת.
- לפי הדיווח, ל-CVE-2026-115893 לא היה ערך מאושר במאגר ההתראות של GitHub ב-26 באוקטובר, כך ש-Dependabot עלול לא להתריע על ARM64. אל תסתמך עליו בלבד.
- בהתראות לא פורסם workaround; עד העדכון, צמצם את המודולים שגורם חיצוני יכול לספק.
מקורות: The Hacker News · התראת Wasmtime (GHSA-897f-g5gm-fmxm) · התראת ARM64
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
