باحثو DEVCORE يعرضون استغلال ثغرة WebKit داخل متصفح Safari 26.5

قدّم باحثو فريق DEVCORE عرضًا في مؤتمر POC 2026 المقام في سيول يوم 12 نوفمبر 2026 أظهر تنفيذ شيفرة داخل عملية محتوى الويب في متصفح Safari 26.5، وذلك مع تفعيل العزل الرملي (sandbox). وقالت منصة dailysecu.com إن العرض تضمّن طباعة محتوى الملف ‎/etc/passwd‎.

حمل حديث الباحثَين Kuan-Ting Chen وTing-Yu Chen عنوان «Obvious Was Only the Beginning: A WebKit Exploit Chain for Pwn2Own». ووفق ما ذُكر في العرض، بدأ الباحثون بثغرة use-after-free في معالجة نمو ذاكرة WebAssembly داخل JavaScriptCore، لكنها كانت قد أُصلحت مسبقًا في نسخة Safari المطروحة.

انتقل الفريق بعد ذلك إلى ثغرة ذاكرة مرتبطة بها في طبقة التحسين DFG داخل JavaScriptCore، حيث يُتعامل مع عنوان ذاكرة مؤقتة (mutable buffer) على أنه ثابت. وأوضح الباحثون أنهم استخدموا نماذج لغوية كبيرة لتضييق نطاق البحث وكتابة الشيفرة، بينما تولّوا بأنفسهم تجاوز حماية المؤشر.

وتجاوز الباحثون آلية مصادقة المؤشر (Pointer Authentication Code) في شرائح Apple Silicon عبر تحليل طريقة WebKit في الترجمة الفورية (JIT) وتخصيص الذاكرة. وأشاروا إلى أن ما أثبتوه يقتصر على تنفيذ شيفرة داخل عملية محتوى الويب في Safari، ولا يرتقي إلى الوصول الكامل إلى نظام التشغيل. كما لاحظوا أن Apple فعّلت قيد «JIT Cage» الذي يحد من نطاق تنفيذ شيفرة JIT في نسخة macOS 27.3 التجريبية، لكنهم لم يجدوا وقتًا للتحقق من أثره.

وكان هذا البحث قد أُعدّ في الأصل لمؤتمر Pwn2Own Berlin 2026 لكن تعذّر تقديمه هناك. ويُذكر أن Pwn2Own Berlin 2026 أُقيم في مايو 2026، وسجّل فيه فريق DEVCORE 17 ثغرة عاملة لكنه لم يتمكن من عرض سوى أربع منها.

سياق المؤتمر

انطلق مؤتمر POC في عام 2006 بوصفه أول مؤتمر قرصنة دولي في كوريا، وينعقد في نسخة 2026 يومي 12 و13 نوفمبر في فندق The Westin Seoul Parnas بمشاركة أكثر من 400 خبير أمني.