مدونة سكاي لاين

تنبيه أمني ديبيان

تحديثات php8.2 الأمنية في Debian 12 ‏(bookworm) خلال 2025-2026: أربعة إشعارات DSA وأربعة إشعارات LTS

كل تحديثات php8.2 الأمنية لإصدار Debian 12 من مارس 2025 إلى أكتوبر 2026، ومنها إصلاح LTS لثغرات php2shell المستغلة فعليًا.

تاريخ النشر
مدة القراءة
5 دقائق
الكاتب
SKYLINE Engineering

تنبيه أمني ثغرة أمنية

الخطورة: حرجة الحالة: تم التصحيح
معرّفات CVE
الحالة
تتوفر نسخ مصحّحة لـ دبيان 12 (bookworm).
المتأثر
  • حزمة php8.2 في دبيان 12 (bookworm) قبل الإصدار 8.2.28-1~deb12u1
  • حزمة php8.2 في دبيان 12 (bookworm) قبل الإصدار 8.2.29-1~deb12u1
  • حزمة php8.2 في دبيان 12 (bookworm) قبل الإصدار 8.2.30-1~deb12u1
  • حزمة php8.2 في دبيان 12 (bookworm) قبل الإصدار 8.2.31-1~deb12u1
  • حزمة php8.2 في دبيان 12 (bookworm) قبل الإصدار 8.2.32-1~deb12u1
  • حزمة php8.2 في دبيان 12 (bookworm) قبل الإصدار 8.2.33-1~deb12u1
  • حزمة php8.2 في دبيان 12 (bookworm) قبل الإصدار 8.2.34-1~deb12u1
  • حزمة php8.2 في دبيان 12 (bookworm) قبل الإصدار 8.2.35-1~deb12u1
تاريخ النشر
آخر تحديث

ما الذي يجب عليك فعله

  • انقل كل خوادم bookworm إلى 8.2.35-1~deb12u1 أو أحدث الآن، فثغرات php2shell مدرجة في كتالوج CISA للثغرات المستغلة فعليًا.
  • ثبّت تحديث libgd2 ‏(libgd3) في الوقت نفسه.
  • أعد تشغيل PHP-FPM وApache وعمّال PHP، ثم تحقق بالأمر php -v.
  • اختبر تطبيقاتك على PHP 8.4 وخطط للانتقال إلى Debian 13 قبل انتهاء الدعم الأصلي لـ PHP 8.2.
التسلسل الزمني
  1. نشرت دبيان التحذير الأمني DSA-5878-1 لحزمة php8.2.
  2. نشرت دبيان التحذير الأمني DSA-5967-1 لحزمة php8.2.
  3. نشرت دبيان التحذير الأمني DSA-6154-1 لحزمة php8.2.
  4. نشرت دبيان التحذير الأمني DSA-6255-1 لحزمة php8.2.
  5. نشر فريق الدعم طويل الأمد في دبيان التحذير DLA-4669-1 لحزمة php8.2.
  6. نشر فريق الدعم طويل الأمد في دبيان التحذير DLA-4732-1 لحزمة php8.2.
  7. نشر فريق الدعم طويل الأمد في دبيان التحذير DLA-4819-1 لحزمة php8.2.
  8. نشر فريق الدعم طويل الأمد في دبيان التحذير DLA-4848-1 لحزمة php8.2.
  9. نشرت سكايلاين هذا الملخص.

يأتي Debian 12 ‏(bookworm) بإصدار PHP 8.2 ضمن حزمة المصدر php8.2. ومن مارس 2025 إلى أكتوبر 2026 تلقى ثمانية تحديثات أمنية: أربعة إشعارات أمنية من Debian ‏(DSA) حين كان bookworm لا يزال ضمن الدعم الأمني المعتاد، ثم أربعة إشعارات من فريق الدعم طويل الأمد ‏(DLA). وآخرها DLA-4848-1 في 21 أكتوبر 2026 يعالج ثغرات php2shell التي تدرجها CISA ضمن الثغرات المستغلة فعليًا. لذا ينبغي أن تكون خوادم bookworm على الإصدار 8.2.35-1~deb12u1 أو أحدث.

نظرة سريعة

الإشعارالتاريخالإصدار المصححما تذكر Debian أنه يعالجه
DSA-5878-114 مارس 20258.2.28-1~deb12u15 ثغرات: حجب الخدمة أو تهريب طلبات HTTP
DSA-5967-128 يوليو 20258.2.29-1~deb12u13 ثغرات: حجب الخدمة أو تزوير الطلبات من جهة الخادم
DSA-6154-12 مارس 20268.2.30-1~deb12u13 ثغرات: حجب الخدمة أو كشف محتوى الذاكرة
DSA-6255-18 مايو 20268.2.31-1~deb12u18 ثغرات: حجب الخدمة أو حقن SQL أو البرمجة عبر المواقع أو تنفيذ الكود
DLA-4669-14 يوليو 20268.2.32-1~deb12u1CVE-2026-14355: إفساد ذاكرة في تغليف مفاتيح AES بالحشو
DLA-4732-111 أغسطس 20268.2.33-1~deb12u1CVE-2026-7260 وCVE-2026-17543: حجب الخدمة أو حقن SQL
DLA-4819-15 أكتوبر 20268.2.34-1~deb12u110 ثغرات وإشعار GitHub إضافي: حجب الخدمة أو كشف المعلومات أو رفع الصلاحيات أو التحقق الخاطئ من TLS أو تجاوز ضوابط الوصول
DLA-4848-121 أكتوبر 20268.2.35-1~deb12u1CVE-2026-109618 وCVE-2026-109619: تنفيذ كود عن بُعد (php2shell)

كل إصدار يشمل الإصلاحات السابقة، فالإصدار 8.2.35-1~deb12u1 يغطي القائمة كلها.

ما الذي عالجته التحديثات

  • عام 2025 ‏(DSA-5878-1 وDSA-5967-1): معالجة الترويسات وإعادة التوجيه في غلاف تدفقات HTTP (مثل CVE-2025-1861 حيث كانت عناوين إعادة التوجيه تُقتطع عند 1024 بايت)، وتجاهل أخطاء التهريب في امتدادات pgsql ‏(CVE-2025-1735)، والبايت الفارغ في أسماء المضيفات (CVE-2025-1220).
  • DSA-6154-1: إصلاحات ديسمبر 2025 الأصلية التي نُشرت لإصدار bookworm في 2 مارس 2026: انهيار اقتباس PDO مع PostgreSQL ‏(CVE-2025-14180)، وتجاوز ذاكرة الكومة في array_merge() ‏(CVE-2025-14178)، وتسريب الذاكرة في getimagesize() ‏(CVE-2025-14177).
  • DSA-6255-1: جولة مايو 2026، ومنها استخدام ذاكرة بعد تحريرها في SOAP يذكر سجلها أنه قد يسمح بتنفيذ كود عن بُعد (CVE-2026-6722)، وحقن SQL في PDO Firebird ‏(CVE-2025-14179).
  • DLA-4732-1: حقن SQL في pg_insert() وpg_update() وpg_select() وpg_delete() ‏(CVE-2026-17543) وانهيار في phar. وقد عالجت Debian خلل GD المرتبط في مكتبة libgd2 على bookworm عبر DLA-4731-1 ‏(2.3.3-9+deb12u1، والحزمة الثنائية libgd3).
  • DLA-4819-1: جولة سبتمبر 2026، ومنها تسريب بيانات الاعتماد عند إعادة توجيه HTTP ‏(CVE-2026-91766)، وتجاوز الإعداد listen.allowed_clients في PHP-FPM عبر IPv6 ‏(CVE-2026-91768).
  • DLA-4848-1: ثغرتان تصفهما Debian بالحرجتين، في معالجة نفاد الذاكرة وفي حالة طلب قد تبقى بعد تحرير ذاكرتها. راجع مقالنا عن php2shell.

هل أنت متأثر؟

dpkg -l 'php8.2*' | awk '/^ii/ {print $2, $3}'
apt policy php8.2-fpm php8.2-cli libapache2-mod-php8.2 libgd3

أي إصدار أقل من 8.2.35-1~deb12u1 يفتقد على الأقل إصلاح php2shell. وإذا أظهر apt policy أن PHP يأتي من مستودع خارجي فإصدارات Debian هذه لا تنطبق عليك، فقارن بالإصدار الأصلي PHP 8.2.35 بدلًا منها.

طريقة التحديث

تصل إشعارات DLA عبر أرشيف bookworm-security نفسه الذي كانت تصل منه إشعارات DSA، فتعمل الأوامر المعتادة:

sudo apt update
sudo apt upgrade

ويشرح دليلنا عن التحديثات الأمنية التلقائية على Debian كيفية تطبيقها دون تدخل.

هل تحتاج إلى إعادة تشغيل؟

لا حاجة لإعادة تشغيل الخادم. أعد تشغيل PHP-FPM وApache مع mod_php وعمّال PHP طويلي الأمد:

sudo systemctl restart php8.2-fpm
sudo systemctl restart apache2   # if libapache2-mod-php8.2 is installed

التخطيط لما بعد 2026

انتهى الدعم الاعتيادي لإصدار bookworm في يوليو 2026، وتستمر فترة الدعم طويل الأمد حتى 30 يونيو 2028. أما الدعم الأمني الذي يقدمه مشروع PHP نفسه للفرع 8.2 فينتهي في 31 ديسمبر 2026، وبعد ذلك تعتمد حزمة php8.2 في bookworm على الإصلاحات التي يعدّها فريق LTS. ويأتي Debian 13 ‏(trixie) بإصدار PHP 8.4 الذي يدعمه مشروع PHP بالإصلاحات الأمنية حتى 31 ديسمبر 2028. أما Debian 11 ‏(bullseye) فقد انتهى دعمه طويل الأمد في 31 أغسطس 2026، وينبغي ترقية الخوادم التي لا تزال عليه.

المصادر

المواضيع

SKYLINE Engineering

@skyline

The engineering team at SKYLINE Industrial Solutions. We publish field-tested guides drawn from real KSA and GCC deployments.

صفحة الكاتب
المزيد في ديبيان

ذات صلة: أدلة Skyline Nexus ERP

قاعدة معرفة Nexus ←
Skyline Nexus ERP

أدلة الضرائب والفوترة الإلكترونية في الخليج والشرق الأوسط

ضريبة القيمة المضافة، الفوترة الإلكترونية (زاتكا) وضريبة الشركات للسعودية والإمارات ودول الخليج.

 Skyline Nexus ERP

Skyline Nexus ERP — محاسبة سحابية وفوترة زاتكا الإلكترونية

نظام ERP سحابي من سكاي لاين: المحاسبة والفوترة والمخزون ونقاط البيع. الشهر الأول مجانًا.
SKYLINE engineering services

Need this implemented for you?

Reading is free — building it right takes a team. SKYLINE engineers ship Debian for Aramco vendors, banks, hospitals and government agencies across Saudi Arabia. Talk to us before you start.

Server Infrastructure Dell, HPE, Huawei, VMware, Hyper-V, HCI IT AMC Annual maintenance, 24/7 SLA, Bronze→Platinum
Talk to a SKYLINE engineer Call +966 50 993 9334
Aramco Approved Contractor ISO 9001 · ISO 27001 SAMA CSF aligned NCA ECC ready 247+ KSA clients

Comments

0 total · 0 threads
Be the first to leave a comment.