يأتي Debian 13 (trixie) بإصدار PHP 8.4 ضمن حزمة المصدر php8.4. وبين ديسمبر 2025 وأكتوبر 2026 نشر فريق أمن Debian ستة إشعارات لها، نقل كل منها trixie إلى الإصدار الفرعي المقابل من 8.4 في المشروع الأصلي. وآخرها DSA-6574-1 في 21 أكتوبر 2026 يعالج ثغرتي php2shell اللتين أدرجتهما CISA ضمن الثغرات المستغلة فعليًا منذ 26 أكتوبر 2026. فإن لم تكن خوادم trixie لديك على الإصدار 8.4.27-1~deb13u1 فحدّثها الآن.
نظرة سريعة
| الإشعار | التاريخ | الإصدار المصحح | ما تذكر Debian أنه يعالجه |
|---|---|---|---|
| DSA-6088-1 | 21 ديسمبر 2025 | 8.4.16-1~deb13u1 | 3 ثغرات: حجب الخدمة أو كشف محتوى الذاكرة |
| DSA-6256-1 | 8 مايو 2026 | 8.4.21-1~deb13u1 | 11 ثغرة: حجب الخدمة أو حقن SQL أو البرمجة عبر المواقع أو كشف المعلومات أو تنفيذ الكود |
| DSA-6377-1 | 4 يوليو 2026 | 8.4.23-1~deb13u1 | CVE-2026-14355: إفساد ذاكرة في تغليف مفاتيح AES بالحشو |
| DSA-6406-1 | 31 يوليو 2026 | 8.4.24-1~deb13u1 | 3 ثغرات: حجب الخدمة أو حقن SQL أو كشف المعلومات أو تنفيذ الكود |
| DSA-6514-1 | 25 سبتمبر 2026 | 8.4.26-1~deb13u1 | 10 ثغرات: حجب الخدمة أو كشف المعلومات أو التحقق الخاطئ من شهادات TLS أو تجاوز ضوابط الوصول |
| DSA-6574-1 | 21 أكتوبر 2026 | 8.4.27-1~deb13u1 | CVE-2026-109618 وCVE-2026-109619: تنفيذ الكود (php2shell) |
كل إصدار مصحح يشمل ما قبله، فالخادم الذي يعمل بالإصدار 8.4.27-1~deb13u1 يحمل كل الإصلاحات في هذه القائمة.
ما الذي عالجته التحديثات
- DSA-6088-1 حمل إصلاحات ديسمبر 2025: انهيار في اقتباس PDO مع PostgreSQL (CVE-2025-14180)، وتجاوز في ذاكرة الكومة داخل
array_merge()(CVE-2025-14178)، وتسريب ذاكرة فيgetimagesize()(CVE-2025-14177). - DSA-6256-1 جلب جولة مايو 2026، ومنها استخدام ذاكرة بعد تحريرها في SOAP يذكر سجلها أنه قد يسمح بتنفيذ كود عن بُعد (CVE-2026-6722)، وحقن SQL في PDO Firebird (CVE-2025-14179)، وثغرة برمجة عبر المواقع في صفحة حالة PHP-FPM (CVE-2026-6735).
- DSA-6377-1 عالج تجاوز مخزن في
openssl_encrypt()مع تغليف مفاتيح AES بالحشو. - DSA-6406-1 عالج حقن SQL في
pg_insert()وpg_update()وpg_select()وpg_delete()(CVE-2026-17543)، وكتابة خارج الحدود فيbccomp()(CVE-2026-17544)، وانهيارًا في phar (CVE-2026-7260). أما خلل GD المرتبط فعولج في مكتبة libgd2 المستقلة على trixie عبر DSA-6409-1 (2.3.3-14~deb13u1، والحزمة الثنائيةlibgd3). - DSA-6514-1 جلب جولة سبتمبر 2026: تسريب بيانات الاعتماد عند إعادة توجيه HTTP، وأخطاء في التحقق من أسماء TLS، وتجاوز ضوابط الوصول عبر IPv6 في الإعداد
listen.allowed_clientsفي PHP-FPM (CVE-2026-91768)، وانهيار خادم SOAP (CVE-2026-91765). - DSA-6574-1 عالج ثغرتي php2shell اللتين تصفهما Debian بخلل في تتبع حالة الذاكرة قد يؤدي إلى تنفيذ كود عشوائي. والتفاصيل في مقالنا عن php2shell.
هل أنت متأثر؟
تحقق من حزم php8.4 المثبتة وإصداراتها والمستودع الذي جاءت منه:
dpkg -l 'php8.4*' | awk '/^ii/ {print $2, $3}'
apt policy php8.4-fpm php8.4-cli libapache2-mod-php8.4إذا كان الإصدار المثبت أقل من 8.4.27-1~deb13u1 فإصلاح php2shell على الأقل غير موجود. وإذا أظهر apt policy أن PHP يأتي من مستودع خارجي لا من Debian، فإصدارات DSA أعلاه لا تنطبق عليك؛ تابع تحديثات ذلك المستودع وقارن بالإصدار الأصلي PHP 8.4.27. أما Debian 12 (bookworm) فيستخدم php8.2 الذي يتلقى إصلاحاته من فريق Debian LTS.
طريقة التحديث
sudo apt update
sudo apt upgrade # upgrades all installed php8.4-* packages and libgd3 togetherولتلقي إشعارات DSA المستقبلية تلقائيًا راجع دليلنا عن التحديثات الأمنية التلقائية على Debian.
هل تحتاج إلى إعادة تشغيل؟
لا حاجة لإعادة تشغيل الخادم، لكن PHP-FPM وApache يحتفظان بالكود القديم حتى تعيد تشغيلهما:
sudo systemctl restart php8.4-fpm
sudo systemctl restart apache2 # if libapache2-mod-php8.4 is installedوأعد تشغيل عمّال الطوابير وعمليات PHP طويلة الأمد أيضًا، ثم تأكد بالأمر php -v.
المصادر
- security-tracker.debian.org/tracker/DSA-6088-1
- lists.debian.org/debian-security-announce/2025/msg00254.html
- security-tracker.debian.org/tracker/DSA-6256-1
- lists.debian.org/debian-security-announce/2026/msg00167.html
- security-tracker.debian.org/tracker/DSA-6377-1
- lists.debian.org/debian-security-announce/2026/msg00288.html
- security-tracker.debian.org/tracker/DSA-6406-1
- lists.debian.org/debian-security-announce/2026/msg00317.html
- security-tracker.debian.org/tracker/DSA-6514-1
- lists.debian.org/debian-security-announce/2026/msg00427.html
- security-tracker.debian.org/tracker/DSA-6574-1
- lists.debian.org/debian-security-announce/2026/msg00489.html
- debian.org/security/2026/dsa-6574
- lists.debian.org/debian-security-announce/2026/msg00320.html
- security-tracker.debian.org/tracker/php8.4
- packages.debian.org/source/trixie/php8.4
- cve.org/CVERecord?id=CVE-2026-109618
- cve.org/CVERecord?id=CVE-2026-109619
- cisa.gov/known-exploited-vulnerabilities-catalog
- php.net/archive/2026.php
Comments
0 total · 0 threads