أصدرت دبيان في سبتمبر 2026 تحديثاً لخادم nginx في الإصدارين المدعومين: النشرة DSA-6496-1 لدبيان 13 (trixie) في 12 سبتمبر، والنشرة DLA-4784-1 لدبيان 12 (bookworm) في 17 سبتمبر. ويعالج التحديث ثلاث ثغرات، يصنف nginx إحداها بأنها "كبرى"، وهي أعلى فئة لديه. ثم أصلحت النشرة DSA-6496-2 بعد أربعة أيام خللاً في الحزم ظهر في trixie. وتلخص هذه الصفحة أيضاً نشرات nginx السابقة في 2026.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | nginx |
| دبيان 13 (trixie) | 1.26.3-3+deb13u8 (DSA-6496-1)، وإصلاح الخلل 1.26.3-3+deb13u9 (DSA-6496-2) |
| دبيان 12 (bookworm) | 1.22.1-9+deb12u10 (DLA-4784-1) |
| الثغرات | CVE-2026-42533 (كبرى) وCVE-2026-56434 (متوسطة) وCVE-2026-60005 (متوسطة) |
| الخطورة | عالية، إذ يصنف nginx الثغرة CVE-2026-42533 بأنها كبرى |
| تحديث أحدث | حصل trixie لاحقاً على DSA-6575-1 (1.26.3-3+deb13u10 في 21 أكتوبر 2026) |
ما طبيعة الثغرات
تذكر دبيان أن هذه الثغرات قد تؤدي إلى حجب الخدمة أو كشف محتوى الذاكرة أو ربما تنفيذ شيفرة عشوائية.
- CVE-2026-42533، تجاوز سعة الكومة في محرك السكربتات (كبرى). يمكن إطلاقها عندما ينفذ الأمر
mapمطابقة بتعبير نمطي وتشير سلسلة نصية إلى مجموعات التقاط عدّلها map، أو عندما تتغير متغيرات غير قابلة للتخزين المؤقت بين المرحلتين اللتين يبني فيهما nginx السلسلة. وتمنحها شركة F5، الجهة المصدرة للمعرّف، درجة CVSS 3.1 قدرها 8.1 مع تعقيد هجوم مرتفع، ويسجل تقييم CISA على موقع cve.org وجود إثبات مفهوم منشور، لكنها غير مدرجة في قائمة CISA للثغرات المستغلة فعلياً حتى 30 أكتوبر 2026. - CVE-2026-56434، استخدام ذاكرة بعد تحريرها مع التضمين من جهة الخادم (متوسطة). تظهر في الإعدادات التي تجمع SSI مع
proxy_passوproxy_buffering off، عندما يتسبب رد الخادم الخلفي في إنهاء طلب فرعي مرتين. - CVE-2026-60005، كشف محتوى الذاكرة (متوسطة). قد يترك فشل مطابقة تعبير نمطي معلومات التقاط قديمة، فتقرأ عملية التقاط لاحقة ذاكرة غير مهيأة. ويدرجها nginx ضمن وحدة slice.
أما تحديث الخلل DSA-6496-2 فقد مس حزمة nginx-dev فقط، إذ أعلن الإصلاح المنقول ملفي ترويسة خاصين لا تتضمنهما الحزمة، فتعذر بناء الوحدات الخارجية عليها. وإذا كنت تبني وحدات nginx خاصة بك على trixie فتأكد من وجود 1.26.3-3+deb13u9 على الأقل.
نشرات nginx السابقة في 2026
| النشرة | التاريخ | الثغرات (تصنيف nginx) | دبيان 13 | دبيان 12 |
|---|---|---|---|---|
| DSA-6131-1 | 12 فبراير | CVE-2026-1642 (متوسطة): حقن عند العمل وكيلاً لخادم TLS خلفي | 1.26.3-3+deb13u2 | 1.22.1-9+deb12u4 |
| DSA-6278-1 | 16 مايو | CVE-2026-42945 (متوسطة) وCVE-2026-40701 (متوسطة) وCVE-2026-42934 (منخفضة) | 1.26.3-3+deb13u5 | 1.22.1-9+deb12u7 |
| DSA-6326-1 | 7 يونيو | CVE-2026-9256 (متوسطة) وCVE-2026-42946 (متوسطة) | 1.26.3-3+deb13u6 | 1.22.1-9+deb12u8 |
| DSA-6374-1 / DLA-4667-1 | 30 يونيو / 3 يوليو | CVE-2026-42055 (متوسطة) وCVE-2026-48142 (منخفضة) | 1.26.3-3+deb13u7 | 1.22.1-9+deb12u9 |
كل حزمة nginx تتضمن الإصلاحات السابقة، لذا فتثبيت أحدث إصدار لإصدارك يغطي كل الصفوف.
هل أنت متأثر؟
dpkg -l 'nginx*' 'libnginx-mod-*'
apt policy nginx nginx-commonفي دبيان 12 تحتاج إلى 1.22.1-9+deb12u10 على الأقل، وفي دبيان 13 تحتاج إلى 1.26.3-3+deb13u9 على الأقل لهذه النشرة، وإلى 1.26.3-3+deb13u10 لتشمل إصلاحات أكتوبر. ولمعرفة ما إذا كنت تستخدم الميزات المعنية، ابحث في الإعدادات الكاملة:
sudo nginx -T 2>/dev/null | grep -nE '^\s*(map|ssi|proxy_buffering|slice)\b'وجود نتيجة لا يثبت التعرض، وغيابها ليس مبرراً لتأجيل التحديث، فهي تساعدك على ترتيب الأولويات فقط. أما دبيان 11 (bullseye) فقد تجاوز نهاية الدعم الممتد وينبغي ترقيته.
طريقة التحديث
sudo apt update
sudo apt upgradeيتلقى bookworm تحديثات الدعم الممتد من المستودع المعتاد bookworm-security. وتختلف حزم أوبونتو، فراجع نشرات أوبونتو الأمنية.
هل تحتاج إلى إعادة تشغيل؟
لا حاجة إلى إعادة تشغيل الخادم. اختبر الإعدادات ثم أعد تشغيل nginx حتى تعمل كل العمليات بالشيفرة المصححة:
sudo nginx -t
sudo systemctl restart nginxالمصادر
- security-tracker.debian.org/tracker/DSA-6496-1
- debian.org/security/2026/dsa-6496
- lists.debian.org/debian-security-announce/2026/msg00407.html
- security-tracker.debian.org/tracker/DSA-6496-2
- lists.debian.org/debian-security-announce/2026/msg00411.html
- security-tracker.debian.org/tracker/DLA-4784-1
- lists.debian.org/debian-lts-announce/2026/09/msg00019.html
- security-tracker.debian.org/tracker/DSA-6131-1
- lists.debian.org/debian-security-announce/2026/msg00040.html
- security-tracker.debian.org/tracker/DSA-6278-1
- lists.debian.org/debian-security-announce/2026/msg00189.html
- security-tracker.debian.org/tracker/DSA-6326-1
- lists.debian.org/debian-security-announce/2026/msg00237.html
- security-tracker.debian.org/tracker/DSA-6374-1
- lists.debian.org/debian-security-announce/2026/msg00285.html
- security-tracker.debian.org/tracker/DLA-4667-1
- lists.debian.org/debian-lts-announce/2026/07/msg00008.html
- security-tracker.debian.org/tracker/DSA-6575-1
- nginx.org/en/security_advisories.html
- cve.org/CVERecord?id=CVE-2026-42533
- security-tracker.debian.org/tracker/nginx
- nginx.org/en/docs/switches.html
- wiki.debian.org/LTS/Using
Comments
0 total · 0 threads