تحديث curl ضمن DSA-6558-1 (أكتوبر 2026): إصلاح ثغرة استخدام الذاكرة بعد تحريرها في رفع HTTP/2 في دبيان 13

أصدرت دبيان في 14 أكتوبر 2026 النشرة DSA-6558-1 لحزمة curl في دبيان 13 (trixie). والإصلاح الأساسي فيها للثغرة CVE-2026-92392، وهي استخدام لذاكرة بعد تحريرها في مكتبة libcurl عندما يعيد الخادم ضبط تدفق HTTP/2 أثناء عملية رفع، ويصنفها مشروع curl بأنها عالية الخطورة. ويقدّم التحديث نفسه ثلاثة إصلاحات أصغر كانت دبيان تنوي إصدارها مع التحديث الدوري 13.8. أما دبيان 12 (bookworm) فلا يتأثر بالثغرة الرئيسية.

نظرة سريعة

ما طبيعة الثغرات

• CVE-2026-92392، استخدام ذاكرة بعد تحريرها عند الرفع عبر HTTP/2 (عالية). أثناء الرفع تسيء libcurl معالجة رسالة RST_STREAM من الخادم بالسبب HTTP_1_1_REQUIRED أو REFUSED_STREAM، ثم تستخدم ذاكرة سبق تحريرها. وتذكر دبيان أن ذلك قد يؤدي إلى تنفيذ شيفرة عن بُعد، بينما توضح نشرة curl أن تحويل الخلل إلى تنفيذ شيفرة لم يثبت إلا عندما يستوفي خادم خبيث قائمة طويلة من الشروط المحددة، منها المعرفة الدقيقة بإصدار curl ومعمارية الجهاز وترتيب الذاكرة. والإصدارات المتأثرة من 8.12.0 إلى 8.22.0، ولهذا يتأثر الإصدار 8.14.1 في trixie ولا يتأثر الإصدار 7.88.1 في bookworm.
• CVE-2026-8927، إرسال بيانات اعتماد Digest إلى وكيل خاطئ (متوسطة). عند إعادة استخدام مقبض libcurl واحد لعمليات نقل يُحدَّد فيها الوكيل من متغيرات البيئة، قد تُرسل ترويسة Proxy-Authorization الخاصة بوكيل إلى وكيل آخر. ويشير curl إلى أن أداة سطر الأوامر غير متأثرة.
• CVE-2026-8924، ملفات تعريف ارتباط شاملة عبر النقطة الأخيرة في اسم النطاق (منخفضة). قد يضبط خادم خبيث ملفات تعريف ارتباط لنطاق عام كامل مثل co.uk. عند استخدام اسم مضيف ينتهي بنقطة.
• CVE-2026-8286، إعادة استخدام اتصالات STARTTLS (منخفضة). عمليات النقل التي تبدأ بنص واضح ثم تنتقل إلى TLS، مثل IMAP وPOP3 وSMTP وFTP وLDAP، قد تعيد استخدام اتصال لا تتطابق إعدادات TLS فيه.

تسجل تقييمات CISA على موقع cve.org وجود إثبات مفهوم منشور لهذه الثغرات، لكن أياً منها غير مدرج في قائمة CISA للثغرات المستغلة فعلياً حتى 30 أكتوبر 2026.

هل أنت متأثر؟

تُستخدم libcurl في برامج كثيرة غير أمر curl، ففي trixie تعتمد إضافة curl في PHP (php8.4-curl) على libcurl4t64، ويعتمد git على libcurl3t64-gnutls للمستودعات البعيدة عبر HTTPS. افحص كل حزم curl المثبتة:

dpkg -l curl 'libcurl*'
apt policy libcurl4t64 libcurl3t64-gnutls

في دبيان 13 يحتاج أي إصدار أقدم من 8.14.1-2+deb13u7 إلى التحديث. أما في دبيان 12 فيشير متتبع دبيان الأمني إلى أن CVE-2026-92392 لا تمس bookworm لأن الشيفرة المعيبة غير موجودة فيه، ويصنف الثغرات الثلاث الأخرى بأنها قضايا ثانوية مؤجلة، لذلك لا توجد حزمة جديدة لـ bookworm ضمن هذه النشرة. ودبيان 11 (bullseye) تجاوز نهاية الدعم الممتد وينبغي ترقيته.

طريقة التحديث

sudo apt update
sudo apt upgrade

أو حدّث curl وlibcurl فقط:

sudo apt install --only-upgrade curl libcurl4t64 libcurl3t64-gnutls

تتجاوز apt الحزم غير المثبتة. وتختلف حزم curl في أوبونتو، فراجع نشرات أوبونتو الأمنية لخوادم أوبونتو.

هل تحتاج إلى إعادة تشغيل؟

لا حاجة إلى إعادة تشغيل الخادم. أوامر curl العابرة تستخدم المكتبة الجديدة في تشغيلها التالي، لكن العمليات طويلة التشغيل التي حمّلت libcurl تبقى على النسخة القديمة، والمثال المعتاد هو PHP-FPM:

sudo needrestart -r l
sudo systemctl restart php8.4-fpm

وأعد تشغيل أي خدمة أخرى تظهر في needrestart، مثل عمليات التطبيقات التي تنفذ طلبات HTTP.

المصادر

• security-tracker.debian.org/tracker/DSA-6558-1
• debian.org/security/2026/dsa-6558
• lists.debian.org/debian-security-announce/2026/msg00472.html
• curl.se/docs/CVE-2026-92392.html
• curl.se/docs/CVE-2026-8927.html
• curl.se/docs/CVE-2026-8924.html
• curl.se/docs/CVE-2026-8286.html
• curl.se/docs/vuln.json
• cve.org/CVERecord?id=CVE-2026-92392
• security-tracker.debian.org/tracker/CVE-2026-92392
• security-tracker.debian.org/tracker/CVE-2026-8286
• security-tracker.debian.org/tracker/curl
• packages.debian.org/source/trixie/curl
• packages.debian.org/trixie/php8.4-curl
• packages.debian.org/trixie/git
• manpages.debian.org/trixie/needrestart/needrestart.1.en.html
• manpages.debian.org/trixie/apt/apt-get.8.en.html