تم اكتشاف ثغرة حرجة تُعرف باسم CVE-2026-68982 في Apache Airflow، تتيح تنفيذ التعليمات البرمجية عن بُعد دون مصادقة على عقد العمل. تؤثر الثغرة على جميع الإصدارات قبل 3.4.0 التي تستخدم CeleryExecutor.
تم اكتشاف الثغرة من قبل الباحث الأمني Or Sahar من Reflectiz، وهي مصنفة تحت CWE-306، مما يشير إلى غياب المصادقة لوظيفة حرجة. يمكن للمهاجمين استغلال هذه الثغرة بالحصول على حق الوصول للكتابة إلى وسيط Celery، مما يتيح لهم تشغيل وظائف Python عشوائية دون الحاجة إلى بيانات اعتماد أو DAGs أو مجدول.
تسمح الثغرة للمهاجمين بتزوير رسائل ExecuteCallback، التي تُنفذ دون تحقق. لا يترك هذا الأسلوب الهجومي أي أثر داخل Airflow، حيث لا ينشئ أي DagRuns أو TaskInstances.
قامت Reflectiz بتقييم الثغرة بدرجة 9.8 على مقياس CVSS v3.1، مما يبرز خطورتها. يعالج الإصدار 3.4.0 من Apache Airflow، الذي صدر في 6 نوفمبر 2026، هذه المشكلة من خلال تنفيذ متطلب رمز استخدام واحد لتنفيذ الاستدعاء.
تم الكشف عن الثغرة علنًا في 9 نوفمبر 2026. يُنصح مستخدمو الإصدارات المتأثرة بالترقية إلى الإصدار 3.4.0 لتقليل المخاطر.