يقول Nebula Security أن ثغرة Firefox JIT المصححة يمكن أن تحدث بمجرد زيارة صفحة ويب ضارة، وقد تم استخدامها أيضًا لاختراق متصفح Tor.
تتبع باسم CVE-2026-10702، يوفر الخطأ تنفيذ تعليمات برمجية عشوائية داخل عملية عرض المتصفح. صنفتها Mozilla على أنها عالية وأصلحتها في تحديث Firefox 151.0.3.
وقال Eten Zou، الرئيس التنفيذي لشركة Nebula Security، لصحيفة The Hacker News: “لا توجد حاجة لأي إعدادات أو تفاعل إضافي للمستخدم”. وقال زو: “إن زيارة صفحة ويب ضارة تكفي لتنشيطها”، وقال إن كل إصدار لمتصفح Tor يتضمن إصدارًا ضعيفًا من Firefox قد تأثر، على الرغم من أن الباحثين لم يحددوا إصدارات Tor بالضبط.
يقوم الخطأ من تلقاء نفسه بتشغيل التعليمات البرمجية فقط داخل عملية محتوى وضع الحماية في Firefox. أصدرت Nebula مواد استغلال عامة واستخدمت الخلل كمرحلة أولى من IonStack، وهي سلسلة من المتصفح إلى النواة مصممة لجهاز ARM64 الذي يعمل بنظام Android 17. ويستهدف الكود الشامل الذي تم إصداره أحد إصدارات Google المدعومة، على الرغم من أن Zou قال إن عيب المتصفح نفسه ليس خاصًا بـ ARM.
يحتوي الكود العام على إزاحات Firefox 151.0 للإصدار المدعوم ARM64 Android 17. قال زو إن كل خطوة استغلال مستقلة عن البنية ووصف مسار x86 بأنه أكثر استقرارًا، على الرغم من أن Nebula لم يكمل السلسلة الكاملة لتلك البنية.
يجب على مستخدمي Firefox التحديث إلى الإصدار الأحدث. تتبعت Hacker News إعلان الاسم المستعار الخاطئ من خلال تاريخ مصدر Mozilla إلى Bug 1995077، الذي وصل إلى Firefox 147. التجاوز موجود في Firefox 151.0.2 وغائب عن Firefox 151.0.3. وهذا يضع نطاق الإصدار المستقر المتأثر في Firefox 147 حتى 151.0.2.
لا يُدرج تقرير Mozilla Firefox ESR، كما أن التجاوز الخاطئ غائب عن Firefox ESR 140.12. اعتبارًا من 28 يوليو 2026، لا يثبت سجل المصدر الأساسي المتاح استغلالًا ضد المستخدمين في البرية.
في تحليلها الفني، تتبع Nebula المشكلة إلى MObjectToIterator عندما يتم تشغيلها مع ضبط SkipRegistration على true. يقوم برنامج التحويل البرمجي الخاص بـ Firefox في الوقت المناسب (JIT) بتحويل JavaScript التي يتم تشغيلها بشكل متكرر إلى رمز الجهاز الأصلي، وللقيام بذلك بأمان، يجب عليه تتبع العمليات التي يمكن أن تمس الذاكرة.
تعامل Firefox مع العملية على أنها قراءة على الرغم من أن حل الخاصية البطيئة يمكن أن يخصص مخزنًا مؤقتًا بديلاً للفتحات الديناميكية ويحرر القديم.
ثم تعامل ترقيم القيمة العالمية مع تحميل المخزن المؤقت للفتحات اللاحقة على أنه زائد عن الحاجة وأعاد استخدام المؤشر السابق بعد أن أصبح قديمًا. يستعيد استغلال Nebula التخصيص المحرر، ويتسرب مؤشر الفئة المخفية، ويبني كائنًا مزيفًا، ويفسد Uint8Array للحصول على ذاكرة قراءة وكتابة عشوائية. يقوم كود Android بعد ذلك بتغيير حماية الذاكرة وإعادة توجيه نقطة إدخال وظيفة WebAssembly إلى كود القشرة ARM64.
يؤدي الفشل إلى تشغيل عقد مترجم ضيق: تم تصنيف العملية القادرة على استبدال المخزن المؤقت للفتحات الديناميكية للكائن على أنها عملية قراءة. يسمح هذا العقد غير الصحيح لمنطق التحسين الصحيح بالحفاظ على المؤشر الذي أبطله وقت التشغيل بالفعل.
يعمل إصلاح Mozilla على مستوى المصدر على إزالة معالجة الاسم المستعار المخصص للقراءة فقط من ObjectToIterator وضبط عملية التكرار ذات الصلة. يمنع ذلك المُحسِّن من التعامل مع خطوة قادرة على إحداث طفرة على أنها حمل غير ضار والاحتفاظ بالمؤشر القديم.
المرحلة الثانية من IonStack هي CVE-2026-43499، وهو خلل منفصل في Linux kernel futex يطلق عليه Nebula اسم GhostLock. يوفر CVE-2026-10702 موطئ قدم للمتصفح البعيد؛ يحمله CVE-2026-43499 إلى الجذر على إصدار Android المدعوم.
قال Zou إنه يتم استدعاء GhostLock مباشرة من Firefox. وأضاف أن وضع الحماية الأضعف لنظام Android يجعل الاستغلال أسهل، لكن Nebula لا يعتقد أن وجود وضع حماية أقوى لسطح المكتب من شأنه أن يمنع الهجوم.
يؤدي تحديث Firefox إلى حظر نقطة الدخول الموثقة للمتصفح، ولكنه لا يؤدي إلى تصحيح GhostLock نفسه.
