ثغرة خطيرة في llama.cpp تسمح بكتابة خارج حدود الذاكرة
الثغرة CVE-2026-116816 حصلت على تقييم 8.5 وفق CVSS 4.0 وتؤثر في إصدارات llama.cpp من b5899 حتى ما قبل b10261، مع إصلاح متاح.
نُشر في 27 أكتوبر 2026 الكشف العلني عن ثغرة أمنية عالية الخطورة في بيئة تشغيل نماذج الذكاء الاصطناعي مفتوحة المصدر llama.cpp تحت المعرّف CVE-2026-116816، وحصلت الثغرة على تقييم 8.5 وفق معيار CVSS 4.0، وفق ما أورده موقع dailysecu.com.
وتقع المشكلة في التحقق غير الكافي من المدخلات أثناء معالجة الرموز (tokens) الخاصة بعائلة النماذج اليابانية PLaMo2، ما يسمح بكتابة خارج حدود الذاكرة عند تحميل ملف نموذج GGUF مصمم بقيم رموز غير طبيعية. وقد يؤدي ذلك إلى انهيار التطبيق واحتمال تنفيذ تعليمات برمجية عشوائية، مع عدم تأكيد أي هجوم ناجح من هذا النوع حتى الآن.
وتشمل الإصدارات المتأثرة نسخ llama.cpp من b5899 وحتى ما قبل b10261، في حين عُولجت الثغرة في البناء b10261. ويستلزم استغلالها أن يقوم الضحية فعلياً بتحميل ملف نموذج خبيث ومعالجته، لذا فهي ليست هجوماً عن بُعد دون مصادقة.
وكان الإصلاح قد أُدرج في مستودع التطوير ونُشر ضمن البناء b10261 في 4 أغسطس 2026، بينما لم يُنشر معرّف الثغرة وتفاصيلها إلا في 27 أكتوبر 2026.
توصيات للمستخدمين
يُنصح المستخدمون بالترقية إلى البناء b10261 أو إصدار أحدث، والتحقق من مصدر ملفات نماذج الذكاء الاصطناعي الخارجية وسلامتها قبل تحميلها.
أسئلة سريعة
ما الإصدارات المتأثرة بثغرة CVE-2026-116816؟
نسخ llama.cpp من b5899 وحتى ما قبل b10261، وقد عُولجت الثغرة في البناء b10261.
هل يمكن استغلال الثغرة عن بُعد؟
لا، فالاستغلال يتطلب أن يحمّل الضحية ملف نموذج خبيث بصيغة GGUF ويعالجه، وليس هجوماً عن بُعد دون مصادقة.
كيف أحمي نفسي من الثغرة؟
الترقية إلى البناء b10261 أو أحدث، والتحقق من مصدر ملفات النماذج الخارجية وسلامتها.