צוות Bytecode Alliance פרסם תיקונים לשתי פגיעויות בקומפיילר Cranelift של Wasmtime, שעלולות לאפשר למודול WebAssembly זדוני לצאת מה-sandbox. לפי המתחזקים, שתיהן בציון CVSS 9.9, כלומר קריטיות.
| פרט | CVE-2026-115889 | CVE-2026-115893 |
|---|---|---|
| היקף | כל הארכיטקטורות | ARM64 בלבד |
| חומרה | 9.9 (קריטית) | 9.9 (קריטית) |
| גרסאות מושפעות | לפני 36.0.19; 37.0.0 עד 42.x | לפני 36.0.19; 37.0.0 עד 47.x; 48.0.0 עד 48.0.6; 49.0.0 עד 49.0.3 |
| מנוצל בפועל | לא דווח | לא דווח |
| תיקון | 36.0.19, 48.0.7, 49.0.4, 50.0.0 | 36.0.19, 48.0.7, 49.0.4, 50.0.0 |
מה קרה
שתי הפגיעויות נמצאות ב-Cranelift, רכיב הקומפילציה של Wasmtime. לפי הדיווח, אף אחת מהן אינה בקטלוג ה-KEV של CISA נכון ל-26 באוקטובר, ולא דווח על התקפות. המקור לא מציין מי גילה אותן.
Wasmtime משמשת כספרייה, ולכן עדכון כלי שורת הפקודה לא מתקן תוכנות אחרות שמשבצות אותה. בנוסף, ענף 24.x פרש מתמיכה ב-20 באוגוסט 2026 ולא קיבל תיקון.
נקודות לשים לב
- אתר כל תוכנה ושירות שמשבצים Wasmtime (למשל פלטפורמות פלאגינים או הרצת קוד של צד שלישי), ובנה אותם מחדש מול גרסה מתוקנת.
- אם אתה על ענף שאינו 36, 48, 49 או 50, כולל 24.x, אין תיקון לענף שלך ויש לעבור לענף נתמך.
- ב-ARM64 גם גרסאות 43 עד 47 חשופות ל-CVE-2026-115893, גם אם כבר עודכנת בעקבות פגיעות ARM64 קודמת מאפריל.
- לפי הדיווח יש advisory מסונן ב-GitHub רק לפגיעות הראשונה, ולכן Dependabot לא יתריע על השנייה. בדוק ידנית.
- לא פורסם workaround. הסיכון גבוה במיוחד אם אתה מריץ מודולי Wasm שאינך שולט בהם.
מקורות: The Hacker News · GHSA-897f-g5gm-fmxm · GHSA-mghf-wjfp-p5xm
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
