تحديثات أمنية لـ PostgreSQL 17.11 و15.19 على ديبيان 13 و12 (DSA-6438-1 وDLA-4740-1)

أصدرت ديبيان تحديثات أمنية لقاعدة البيانات PostgreSQL: النشرة DSA-6438-1 للحزمة postgresql-17 في ديبيان 13 (trixie) بتاريخ 13 أغسطس 2026، ثم النشرة DLA-4740-1 للحزمة postgresql-15 في ديبيان 12 (bookworm) في اليوم التالي. تحمل التحديثات الإصدارين 17.11 و15.19 من المشروع الأصلي، وتعالج أكثر من عشرين ثغرة في الخادم والوحدات الإضافية وأداتي psql وpg_dump. وبعض الإصلاحات يتطلب مراجعة سريعة للإعدادات أو البيانات بعد التحديث.

لمحة سريعة

ما هي الثغرات

تلخص ديبيان الأثر المحتمل في تنفيذ تعليمات برمجية عشوائية، أو مصادقة غير صحيحة، أو كشف معلومات، أو رفع الصلاحيات. وقد أصدر مشروع PostgreSQL في 13 أغسطس 2026 الإصدارات 18.6 و17.11 و16.15 و15.19 و14.24، وفيها إصلاح 28 ثغرة أمنية وأكثر من 110 أخطاء. ويمكن تقسيم الثغرات إلى أربع مجموعات:

• ثغرات في الخادم يصل إليها المستخدم المسجّل. عدة أخطاء في إدارة الذاكرة وخلط الأنواع، مثل CVE-2026-16239 (إعادة إنشاء مؤشر cursor بأنواع مختلفة)، قد تسمح لمستخدم عادي في قاعدة البيانات بتنفيذ تعليمات برمجية بصلاحيات مستخدم النظام الذي يشغّل PostgreSQL. أما CVE-2026-15741 فتسمح بحقن SQL عبر معامل الدالة EXTRACT. ويقيّم المشروع هذه الثغرات بدرجة 8.8.
• فك الترميز المنطقي. كانت CVE-2026-6471 (بتقييم 7.2) تسمح لمستخدم النسخ المتماثل بتحميل أي مكتبة كإضافة إخراج لفك الترميز المنطقي، والإصلاح يضيف إعدادًا جديدًا هو output_plugin_libraries.
• أدوات العميل. قد تؤدي أخطاء في psql وpg_dump إلى تنفيذ تعليمات برمجية على الجهاز الذي تشغّلهما منه: CVE-2026-19385 (فيض في الذاكرة في pg_dump عبر قائمة transform مصممة لذلك)، وCVE-2026-18408 (الأمر \unrestrict في psql، ويستغله مستخدم بصلاحيات superuser على الخادم الذي أُخذت منه النسخة)، وCVE-2026-6464 (معاملة psql لبيانات COPY المضمّنة كأوامر عند فشل الأمر مبكرًا).
• التشفير. في CVE-2026-14663 كانت وحدة pgcrypto تنتج بيانات غير مشفّرة فعليًا دون أي تنبيه عند استخدام خوارزمية يرفضها OpenSSL (مثل blowfish أو cast5 أو 3des في وضع FIPS أو دون المزوّد legacy). أما CVE-2026-14681 فتخص الإصدارين 17 و18 فقط، وتتعلق بتشفير GSSAPI مع SSL.

تتضمن نشرة bookworm أيضًا الثغرة الأقدم CVE-2025-8714 في pg_dump. ولا توجد أي من هذه الثغرات في قائمة CISA للثغرات المستغلة فعليًا، وسجلات CVE التي راجعناها تُظهر تقييم CISA للاستغلال بأنه لا يوجد.

هل أنت متأثر؟

تأتي ديبيان 13 بالإصدار 17 وديبيان 12 بالإصدار 15. اعرض الحزم المثبّتة وقارن سطر Installed بالإصدار المُصلَح:

dpkg -l 'postgresql*' libpq5 | grep '^ii'
apt policy postgresql-17 postgresql-client-17 libpq5   # Debian 13
apt policy postgresql-15 postgresql-client-15 libpq5   # Debian 12

الأجهزة التي لا تحمل إلا أدوات العميل معنية أيضًا: خادم النسخ الاحتياطي أو جهاز المسؤول الذي يحتوي على postgresql-client-17 وlibpq5 فقط يحتاج التحديث بسبب إصلاحات psql وpg_dump. وإن كنت ثبّتّ PostgreSQL من مستودع apt الخاص بالمشروع بدلًا من أرشيف ديبيان، فالتحديثات تصلك من هناك؛ تأكد أن الخادم يعرض الإصدار 17.11 أو 15.19 أو أحدث.

طريقة التحديث

sudo apt update
sudo apt upgrade

ولتحديث PostgreSQL وحده على ديبيان 13 (استبدل 17 بـ 15 على ديبيان 12):

sudo apt install --only-upgrade postgresql-17 postgresql-client-17 libpq5

الأمر apt upgrade الكامل يحدّث أيضًا حزم الإضافات مثل postgresql-17-wal2json وحزم اللغات الإجرائية مثل postgresql-plperl-17.

إعادة تشغيل الخدمة أم الخادم؟

لا حاجة لإعادة تشغيل الخادم. عادةً تعيد عملية الترقية تشغيل العناقيد العاملة، وتحقق من ذلك بالأمرين:

pg_lsclusters
sudo -u postgres psql -c 'SELECT version();'

إن ظل أحد العناقيد يعرض الإصدار القديم فأعد تشغيله بالأمر sudo systemctl restart postgresql@17-main (خذ رقم الإصدار واسم العنقود من مخرجات pg_lsclusters). أما البرامج التي تحمّل libpq5، مثل PHP-FPM مع امتداد pgsql، فتبقى على المكتبة القديمة حتى إعادة تشغيلها، والأمر sudo needrestart يعرضها لك.

مراجعات بعد التحديث

• إضافات فك الترميز المنطقي من طرف ثالث. تنبّه ديبيان إلى أن إصلاح CVE-2026-6471 يتطلب ضبط الإعدادات إن كنت تستخدم postgresql-17-wal2json أو postgresql-17-squeeze أو postgresql-17-pg-rewrite أو postgresql-17-decoderbufs (وعلى bookworm: postgresql-15-wal2json وpostgresql-15-decoderbufs). أضف الإضافة إلى الملف /etc/postgresql/17/main/postgresql.conf، مثلًا output_plugin_libraries = 'pgoutput, test_decoding, wal2json'، ثم أعد تشغيل العنقود. ولا تُدرج إلا الإضافات التي تثق بها.
• pgcrypto. البيانات المتأثرة بالثغرة CVE-2026-14663 لن تُفك افتراضيًا بعد الآن، وتشرح ملاحظات إصدار 17.11 الخيار ignore-cipher-failure لاستعادتها ثم إعادة تشفيرها بخوارزمية حديثة.
• نصوص psql. نصوص الاختبار التي تشغّل عمدًا أمر COPY ... FROM STDIN فاشلًا تحتاج الآن إلى سطر إنهاء \..
• الفهارس. أعد بناء فهارس btree_gist على أعمدة الأعداد العشرية التي قد تحتوي على NaN، وفهارس btree على قيم ltree التي تتجاوز نحو 14,653 تسمية.

المصادر

• security-tracker.debian.org/tracker/DSA-6438-1
• debian.org/security/2026/dsa-6438
• lists.debian.org/debian-security-announce/2026/msg00349.html
• security-tracker.debian.org/tracker/DLA-4740-1
• lists.debian.org/debian-lts-announce/2026/08/msg00029.html
• postgresql.org/about/news/postgresql-186-1711-1615-1519-1424-and-19-beta-3-released-3365
• postgresql.org/support/security
• postgresql.org/docs/release/17.11
• postgresql.org/docs/release/15.19
• cve.org/CVERecord?id=CVE-2026-16239
• cve.org/CVERecord?id=CVE-2026-19385
• cve.org/CVERecord?id=CVE-2026-6471
• cisa.gov/known-exploited-vulnerabilities-catalog
• packages.debian.org/source/trixie/postgresql-17
• manpages.debian.org/trixie/postgresql-common/pg_lsclusters.1.en.html
• manpages.debian.org/trixie/postgresql-common/pg_ctlcluster.1.en.html
• debian.org/releases