مدونة سكاي لاين

تنبيه أمني ديبيان

تحديثا خادم Apache ضمن DSA-6248-1 وDSA-6323-1 (مايو ويونيو 2026): الإصدار 2.4.67 وإصلاح تحرير مزدوج وحجب خدمة في HTTP/2

نقلت النشرة DSA-6248-1 دبيان 12 و13 إلى Apache httpd 2.4.67 وعالجت ثغرة مهمة في HTTP/2 وعشر ثغرات أخرى، ثم أضافت DSA-6323-1 إصلاحاً لحجب الخدمة في يونيو.

تاريخ النشر
مدة القراءة
4 دقائق
الكاتب
SKYLINE Engineering

تنبيه أمني ثغرة أمنية

الخطورة: عالية الحالة: تم التصحيح
معرّفات CVE
الحالة
تتوفر نسخ مصحّحة لـ دبيان 13 (trixie) ودبيان 12 (bookworm).
المتأثر
  • حزمة apache2 في دبيان 13 (trixie) قبل الإصدار 2.4.67-1~deb13u2
  • حزمة apache2 في دبيان 12 (bookworm) قبل الإصدار 2.4.67-1~deb12u2
  • حزمة apache2 في دبيان 13 (trixie) قبل الإصدار 2.4.67-1~deb13u3
  • حزمة apache2 في دبيان 12 (bookworm) قبل الإصدار 2.4.67-1~deb12u3
تاريخ النشر
آخر تحديث

ما الذي يجب عليك فعله

  • رقِّ Apache إلى أحدث حزمة لإصدارك وأعد تشغيله.
  • في الخوادم المشتركة التي يعدّل فيها عدة مستخدمين ملفات .htaccess، اعتبر إصلاح CVE-2026-24072 أمراً مهماً.
  • إذا كنت تعتمد على مصادقة Digest فخطط للانتقال إلى طريقة أقوى خلف TLS.
  • عطّل الوحدات التي لا تستخدمها، مثل proxy_ajp أو dav_lock، باستخدام a2dismod.
التسلسل الزمني
  1. نشرت دبيان التحذير الأمني DSA-6248-1 لحزمة apache2.
  2. نشرت دبيان التحذير الأمني DSA-6323-1 لحزمة apache2.
  3. نشرت سكايلاين هذا الملخص.

نشرت دبيان في 6 مايو 2026 النشرة DSA-6248-1 التي حدّثت الحزمة apache2 في دبيان 12 (bookworm) ودبيان 13 (trixie) إلى الإصدار الأصلي Apache httpd 2.4.67. وتذكر دبيان أن الثغرات المعالجة قد تؤدي إلى تنفيذ شيفرة عن بُعد أو رفع الصلاحيات أو حجب الخدمة أو كشف معلومات. وبعد شهر، في 6 يونيو، عالجت النشرة DSA-6323-1 خللاً إضافياً في HTTP/2 يؤدي إلى حجب الخدمة. وكان الإصداران حينها ضمن الدعم الأمني المعتاد، لذا حصل كلاهما على نشرات DSA.

نظرة سريعة

النشرةالتاريخدبيان 13 (trixie)دبيان 12 (bookworm)الثغرات
DSA-6248-16 مايو 20262.4.67-1~deb13u22.4.67-1~deb12u211 ثغرة في الإعلان، منها CVE-2026-23918 (مهمة بحسب Apache)
DSA-6323-16 يونيو 20262.4.67-1~deb13u32.4.67-1~deb12u3CVE-2026-49975 (متوسطة بحسب Apache)

الحزم الثنائية التي تُفحص: apache2 وapache2-bin وapache2-data وapache2-utils. والخطورة عالية استناداً إلى تصنيف Apache للثغرة CVE-2026-23918 بأنها "مهمة".

ما الذي أُصلح

النشرة DSA-6248-1 (الإصدار 2.4.67)

  • CVE-2026-23918، تحرير مزدوج للذاكرة في HTTP/2 (مهمة). يصف Apache تحريراً مزدوجاً مع احتمال تنفيذ شيفرة عن بُعد في بروتوكول HTTP/2 عند إعادة ضبط التدفق مبكراً، ويمس الإصدار 2.4.66 فقط. وتشير دبيان إلى أن trixie حصل على هذا الإصلاح مسبقاً في التحديث الدوري 13.4 (2.4.66-1~deb13u2)، بينما حصل عليه bookworm مع DSA-6248-1.
  • CVE-2026-24072، رفع الصلاحيات عبر تعابير .htaccess (متوسطة). كان بإمكان من يكتب ملفات .htaccess محلياً قراءة ملفات بصلاحيات مستخدم خادم الويب، وهذا مهم في الخوادم التي يستطيع فيها عدة مستخدمين أو مواقع كتابة هذه الملفات.
  • CVE-2026-33006، هجوم توقيت على mod_auth_digest (متوسطة). قد يتمكن مهاجم عن بُعد من تجاوز مصادقة Digest.
  • ثغرات منخفضة: أربعة أخطاء ذاكرة في mod_proxy_ajp (CVE-2026-28780 وCVE-2026-33857 وCVE-2026-34032 وCVE-2026-34059)، وتقسيم ردود HTTP مع خوادم خلفية غير موثوقة (CVE-2026-33523)، وبيانات OCSP غير مقيدة في mod_md (CVE-2026-29168)، وتوقف mod_dav_lock (CVE-2026-29169) وmod_authn_socache (CVE-2026-33007).

النشرة DSA-6323-1

  • CVE-2026-49975 (متوسطة). حساب خاطئ لترويسات ملفات تعريف الارتباط في تطبيق HTTP/2 قد يؤدي إلى استهلاك مفرط للموارد وحجب الخدمة. ويسجل تقييم CISA على موقع cve.org وجود إثبات مفهوم منشور.

ولا تظهر أي من هذه الثغرات في قائمة CISA للثغرات المستغلة فعلياً حتى 30 أكتوبر 2026.

ماذا جاء بعد ذلك

وصل إصدار Apache httpd 2.4.68 (يونيو 2026، 13 ثغرة) إلى دبيان لاحقاً بالإصدارين 2.4.68-1~deb12u1 و2.4.68-1~deb13u1 عبر أرشيف الإصدار المستقر المعتاد وليس عبر نشرة DSA. وفي أكتوبر انتقل trixie إلى 2.4.69 بالنشرة DSA-6569-1 (2.4.69-1~deb13u1)، بينما كان التحديث المقابل لـ bookworm ما زال قيد العمل لدى فريق الدعم الممتد حتى 31 أكتوبر 2026. وكل حزمة تتضمن الإصلاحات السابقة، لذا فالإصدار الأحدث لإصدارك هو دائماً ما ينبغي تشغيله.

هل أنت متأثر؟

apt policy apache2 apache2-bin
sudo apache2ctl -M | grep -E 'http2|auth_digest|proxy_ajp|md_module|dav_lock|authn_socache'

أي إصدار في bookworm أقل من 2.4.67-1~deb12u3، أو في trixie أقل من 2.4.67-1~deb13u3، تنقصه إصلاحات من هاتين النشرتين. وإذا كانت وحدة HTTP/2 (http2_module) محمّلة فثغرات HTTP/2 تنطبق عليك. أما دبيان 11 (bullseye) فقد تجاوز نهاية الدعم الممتد وينبغي ترقيته.

طريقة التحديث

sudo apt update
sudo apt upgrade

تأكد من أن مصادر الحزم تتضمن المستودع الرئيسي والمستودع الأمني معاً (bookworm وbookworm-security، أو trixie وtrixie-security)، لأن بعض إصلاحات Apache وصلت عبر الأرشيف الرئيسي. وتختلف حزم أوبونتو، فراجع نشرات أوبونتو الأمنية.

هل تحتاج إلى إعادة تشغيل؟

لا حاجة إلى إعادة تشغيل الخادم. افحص الإعدادات ثم أعد تشغيل Apache:

sudo apache2ctl configtest
sudo systemctl restart apache2

المصادر

المواضيع

SKYLINE Engineering

@skyline

The engineering team at SKYLINE Industrial Solutions. We publish field-tested guides drawn from real KSA and GCC deployments.

صفحة الكاتب
المزيد في ديبيان

ذات صلة: أدلة Skyline Nexus ERP

قاعدة معرفة Nexus ←
Skyline Nexus ERP

أدلة الضرائب والفوترة الإلكترونية في الخليج والشرق الأوسط

ضريبة القيمة المضافة، الفوترة الإلكترونية (زاتكا) وضريبة الشركات للسعودية والإمارات ودول الخليج.

 Skyline Nexus ERP

Skyline Nexus ERP — محاسبة سحابية وفوترة زاتكا الإلكترونية

نظام ERP سحابي من سكاي لاين: المحاسبة والفوترة والمخزون ونقاط البيع. الشهر الأول مجانًا.
SKYLINE engineering services

Need this implemented for you?

Reading is free — building it right takes a team. SKYLINE engineers ship Debian for Aramco vendors, banks, hospitals and government agencies across Saudi Arabia. Talk to us before you start.

Server Infrastructure Dell, HPE, Huawei, VMware, Hyper-V, HCI IT AMC Annual maintenance, 24/7 SLA, Bronze→Platinum
Talk to a SKYLINE engineer Call +966 50 993 9334
Aramco Approved Contractor ISO 9001 · ISO 27001 SAMA CSF aligned NCA ECC ready 247+ KSA clients

Comments

0 total · 0 threads
Be the first to leave a comment.