في 5 نوفمبر 2026، تم الكشف عن ثغرتين خطيرتين في ModSecurity. تم تحديد هذه الثغرات كـ CVE-2026-104269 وCVE-2026-73857، وتؤثر على إصدارات مختلفة من البرنامج.

تسمح CVE-2026-104269 للمهاجمين بتجاوز قيود تحميل الملفات بسبب عدم تطابق في محلل الأجزاء المتعددة. تؤثر هذه الثغرة على إصدارات ModSecurity 3.0.0 وما بعدها، ولكن قبل الإصدار 3.0.17. يمكن أن تؤدي الثغرة إلى تنفيذ التعليمات البرمجية عن بُعد إذا أرسل المهاجم طلب HTTP مصمم خصيصًا. يتوفر كود استغلال إثبات المفهوم لهذه الثغرة بشكل علني، مما يؤكد استغلالها.

تتعلق CVE-2026-73857 بإلغاء تخصيص مؤشر غير مهيأ يمكن أن يؤدي إلى حجب الخدمة أو كشف الذاكرة. تؤثر هذه الثغرة على إصدارات ModSecurity 3.0.15 و3.0.16.

يُحث المسؤولون على الترقية إلى الإصدار 3.0.17 وتنفيذ التحقق من صحة الملفات على جانب الخادم للتخفيف من هذه الثغرات. تسلط القضايا الضوء على مشكلة الاختلاف في المحلل التي تُرى في جدران الحماية لتطبيقات الويب.