یک آسیب‌پذیری امنیتی با شناسه CVE-2026-91018 در کتابخانه lwIP (Lightweight IP) شناسایی شده است که می‌تواند منجر به اختلال در دسترس‌پذیری (DoS)، کرش کردن سیستم یا فساد حافظه (Memory Corruption) شود. در بدترین حالت، این نقص امنیتی می‌تواند به مهاجم اجازه دهد تا کدهای مخرب خود را روی سیستم قربانی اجرا کند (Code Execution).
جزئیات فنی و تحلیل آسیب‌پذیری
این آسیب‌پذیری از نوع Double Free (آزاد‌سازی مضاعف حافظه) است و نسخه‌های API >=2.0.1 تا <=2.2.1 را تحت تأثیر قرار می‌دهد. با توجه به امتیاز 8.8 در معیار CVSS v3.1، این نقص در دسته High قرار می‌گیرد. اگرچه این آسیب‌پذیری به صورت مستقیم از راه دور (Remotely) قابل اکسپلویت نیست، اما در محیط‌های صنعتی و سیستم‌های تعبیه شده (Embedded Systems) ریسک بالایی ایجاد می‌کند.
بخش‌های تحت تأثیر و ریسک‌های عملیاتی
با توجه به کاربرد گسترده lwIP در تجهیزات شبکه و سیستم‌های کنترل صنعتی، این آسیب‌پذیری می‌تواند بر زیرساخت‌های حیاتی در بخش‌های زیر تأثیر بگذارد:
- سیستم‌های انرژی و مدیریت آب و فاضلاب
- تجهیزات ارتباطاتی و حمل و نقل
- صنایع شیمیایی و تولیدات حیاتی
- خدمات مالی و بهداشت و درمان
راهکارهای مقابله و رفع آسیب‌پذیری
به کاربران و مهندسین امنیت توصیه می‌شود سریعاً اقدامات زیر را انجام دهند:
- به‌روزرسانی فوری: استفاده از آخرین نسخه lwIP از طریق مخزن رسمی و اعمال Commit مربوط به رفع این نقص (شناسه
f873b6295933e4149a2132adf2a676a5ec). - کاهش سطح دسترسی: محدود کردن دسترسی شبکه برای تمامی تجهیزات سیستم‌های کنترل (Control Systems) و اطمینان از عدم دسترسی مستقیم آن‌ها به اینترنت.
- ایزولاسیون شبکه: قرار دادن شبکه‌های صنعتی و تجهیزات دوردست در پشت Firewall و جداسازی آن‌ها از شبکه‌های اداری و تجاری.
- استفاده از VPN: در صورت نیاز به دسترسی از راه دور، استفاده از VPNهای به‌روز و امن برای مدیریت تجهیزات.
