شرکت Octopus Deploy یک آسیب‌پذیری با شدت بالا (High-severity) را در محصول Octopus Server شناسایی کرده است که به کاربران احراز هویت شده اجازه می‌دهد از طریق Insecure JSON Deserialization، کدهای دلخواه (Arbitrary Code) را روی سرورهای آسیب‌پذیر اجرا کنند.
جزئیات فنی و مکانیسم حمله
این نقص امنیتی که با شناسه CVE-2026-101161 ردیابی می‌شود، در نحوه پردازش محتوای JSON مرتبط با اشیاء Environment و Project در Octopus Server وجود دارد. یک کاربر که دسترسی احراز هویت شده و مجوز ویرایش این اشیاء را دارد، می‌تواند داده‌های JSON دستکاری شده (Specially Crafted) را ارسال کند.
هنگامی که Octopus Server این محتوا را بازسازی (Deserialize) می‌کند، مهاجم می‌تواند از این نقص برای اجرای کد در محیط پردازشی (Process) سرور استفاده کند. اگرچه مهاجم باید از پیش دسترسی معتبر و سطح دسترسی کافی برای تغییر پروژه یا محیط را داشته باشد، اما پیامدهای این حمله در محیط‌های سازمانی بسیار گسترده است؛ زیرا Octopus Server معمولاً به اعتبارنامه‌های استقرار (Deployment Credentials)، گردش‌کارهای اتوماسیون و داده‌های حساس پیکربندی اپلیکیشن‌ها دسترسی دارد.
نسخه‌های آسیب‌پذیر و راهکارهای مقابله
این آسیب‌پذیری طیف گسترده‌ای از نسخه‌ها را تحت تاثیر قرار داده است، از جمله:
- تمامی نسخه‌های 2019.4.x تا 2025.x
- نسخه‌های 2026.1.x قدیمی‌تر از 2026.1.11781
- نسخه‌های 2026.2.x قدیمی‌تر از 2026.2.13441
- نسخه‌های 2026.3.x قدیمی‌تر از 2026.3.15829
- نسخه‌های 2026.4.x قدیمی‌تر از 2026.4.1619
نکته: کاربران Octopus Cloud نیاز به اقدام خاصی ندارند، زیرا تمامی نمونه‌های ابری توسط شرکت به‌روزرسانی شده‌اند.
توصیه‌های امنیتی برای مدیران SOC و CISO
با توجه به اینکه هیچ روش کاهش اثر (Mitigation) موقتی برای این نقص وجود ندارد، تنها راهکار به‌روزرسانی فوری (Immediate Upgrade) است. توصیه می‌شود سازمان‌ها سریعاً به آخرین نسخه پایدار (نسخه 2026.3.15863 یا بالاتر) مهاجرت کنند. در صورت عدم امکان انتقال به آخرین بیلد، باید نسخه‌های اصلاح‌شده مربوط به هر شاخه (Feature Branch) نصب گردند.
تا این لحظه، هیچ گزارشی مبنی بر بهره‌برداری عمومی (Public Exploitation) از این آسیب‌پذیری منتشر نشده است، اما به دلیل دسترسی گسترده Octopus Server به زیرساخت‌های حیاتی استقرار، فوریت به‌روزرسانی بسیار بالا است.
