MariaDB 10.11.19 لديبيان 12 (DLA-4835-1): إصلاحات أمنية، وإغلاق انكشاف المنفذ 3306، ووضع trixie

نشر فريق الدعم طويل الأمد في ديبيان في 14 أكتوبر 2026 النشرة DLA-4835-1، التي تحدّث MariaDB في ديبيان 12 (bookworm) إلى الإصدار الأصلي 10.11.19. وإلى جانب ست ثغرات، تعالج النشرة خللًا في التحزيم ظهر في يوليو 2026 قد يجعل MariaDB يستمع على جميع واجهات الشبكة. ولم يصل تحديث مماثل إلى ديبيان 13 (trixie) حتى الآن.

لمحة سريعة

ما الذي يصلحه التحديث

ست ثغرات من نشرات Oracle لـ MySQL في يوليو 2026. تتعلق بالنسخ المتماثل وPerformance Schema، وتقييمها لدى Oracle بين 2.7 و6.6، ومعظمها يتطلب حسابًا بصلاحيات عالية، بينما تتطلب CVE-2026-60747 وصولًا محليًا إلى الخادم. وتلخص ديبيان أثرها بأنها قد تسمح لمهاجم مصادَق بإحداث حجب للخدمة، أو قراءة بيانات دون تفويض، وربما السيطرة على الخادم أو العنقود.

انكشاف غير مقصود على الشبكة. كانت الحزمة السابقة لـ bookworm، أي 10.11.18-0+deb12u1، تفعّل وحدة systemd المسماة mariadb.socket عند الترقية. وكما ورد في تقرير الخلل رقم 1141976، صار systemd يستمع على المنفذ 3306 في جميع الواجهات متجاهلًا الإعداد bind-address وأي منفذ مخصص، وتعذّر تشغيل بعض الخوادم بعد إعادة التشغيل لأن المنفذ مشغول. ويؤكد المشرف على الحزمة أن الإصدار 10.11.19 خالٍ من هذا الخلل، لكنه لا يوقف النسخ التي تعمل أصلًا عبر هذه الوحدة.

ثغرات أحدث من المشروع الأصلي. تذكر ملاحظات إصدار 10.11.19 من MariaDB أيضًا إصلاح ثغرات نُشرت في سبتمبر وأكتوبر 2026، منها اثنتان بتقييم 9.9: CVE-2026-92262، حيث تتجاوز البادئة القديمة #mysql50# في أسماء الجداول ترميز أسماء الملفات، وقد يؤدي ذلك إلى تسريب بيانات أو تنفيذ تعليمات برمجية، وCVE-2026-85746، وهي فيض في الذاكرة في الدالة ST_AsText. وكلتاهما تتطلب حسابًا مصادَقًا في قاعدة البيانات. حزمة ديبيان مبنية من هذا الإصدار الأصلي نفسه، لكن متتبع ديبيان الأمني لم يكن قد سجّل هذه الثغرات الأحدث كمُصلَحة في bookworm حتى 31 أكتوبر 2026، لذا تابع صفحة المتتبع لمعرفة تقييم ديبيان نفسها.

هل أنت متأثر؟

apt policy mariadb-server libmariadb3
systemctl is-enabled mariadb.socket
sudo ss -ltnp | grep 3306

على ديبيان 12، أي إصدار أقدم من 10.11.19-0+deb12u1 لا يتضمن الإصلاحات. وإذا طبع الأمر is-enabled الكلمة enabled وأنت لم تختر تفعيل الوحدة، أو أظهر ss المنفذ 3306 على * أو 0.0.0.0 بينما إعداداتك تربطه بالعنوان 127.0.0.1، فقد أصابك خلل يوليو.

طريقة التحديث (ديبيان 12)

يصف تقرير ثانٍ هو الخلل رقم 1151058 ترقية من .18 إلى .19 تعطلت لأن أحد العملاء أعاد تشغيل الخادم القديم عبر الوحدة أثناء الترقية، وقد جرى ذلك عبر unattended-upgrades. فإن كانت الوحدة مفعّلة ولا تستخدمها، فعطّلها أولًا؛ ويذكر مستخدمون في التقرير 1141976 أن تعطيلها وحجبها (mask) أعاد العنوان والمنفذ المضبوطين:

sudo systemctl disable --now mariadb.socket
sudo systemctl mask mariadb.socket
sudo apt update
sudo apt install --only-upgrade mariadb-server mariadb-client libmariadb3

ويصلح أيضًا الأمر sudo apt upgrade، وهو يحدّث كذلك الإضافات مثل mariadb-plugin-connect وmariadb-backup.

إعادة تشغيل الخدمة أم الخادم؟

لا حاجة لإعادة تشغيل الخادم، فالحزمة تعيد تشغيل الخدمة mariadb. بعد ذلك تأكد من وجود عملية خادم واحدة فقط وأنها تستمع حيث تتوقع:

pgrep -a mariadbd
sudo ss -ltnp | grep mariadbd
sudo mariadb -e 'SELECT VERSION();'

وإن بقيت نسخة قديمة تعمل، فانتظر حتى تتوقف ثم نفّذ sudo systemctl restart mariadb، كما ينصح المشرف على الحزمة في تقرير الخلل.

ديبيان 13 (trixie) في الأثناء

يأتي trixie بالإصدار 11.8.6. ويصنّف المتتبع ثغرات يوليو الست كمسائل بسيطة لا تخطط لها نشرة DSA، ويعرض دفعة أكتوبر كثغرات مفتوحة، بينما الإصدار المُصلَح من MariaDB لسلسلة 11.8 هو 11.8.9. وإلى أن تصدر ديبيان إصلاحًا، قلّل الانكشاف: أبقِ المنفذ 3306 مغلقًا أمام الإنترنت، وامنح حسابات التطبيقات الصلاحيات التي تحتاجها فقط (دون FILE أو CREATE USER)، وأزل الإضافات غير المستخدمة مثل mariadb-plugin-connect، المرتبطة بالثغرتين CVE-2026-107815 وCVE-2026-85985.

المصادر

• security-tracker.debian.org/tracker/DLA-4835-1
• lists.debian.org/debian-lts-announce/2026/10/msg00029.html
• security-tracker.debian.org/tracker/source-package/mariadb
• security-tracker.debian.org/tracker/CVE-2026-92262
• security-tracker.debian.org/tracker/CVE-2026-60585
• bugs.debian.org/cgi-bin/bugreport.cgi?bug=1141976
• bugs.debian.org/cgi-bin/bugreport.cgi?bug=1151058
• mariadb.com/docs/release-notes/community-server/10.11/10.11.19
• github.com/MariaDB/server/security/advisories/GHSA-65jj-h265-3m7h
• github.com/MariaDB/server/security/advisories/GHSA-8fvj-c57c-pggx
• cve.org/CVERecord?id=CVE-2026-92262
• cve.org/CVERecord?id=CVE-2026-85746
• cve.org/CVERecord?id=CVE-2026-60585
• cve.org/CVERecord?id=CVE-2026-60747
• cve.org/CVERecord?id=CVE-2026-107815
• cve.org/CVERecord?id=CVE-2026-85985
• packages.debian.org/source/bookworm/mariadb
• cisa.gov/known-exploited-vulnerabilities-catalog
• debian.org/releases