مدونة سكاي لاين

تنبيه أمني ديبيان

Redis وValkey على ديبيان: التحديثات الأمنية لعام 2026 (DSA-6586-1 وDSA-6538-1 وDLA-4794-1 وغيرها)

أصلحت سبع نشرات من ديبيان في 2026 ثغرات في RESTORE وLua وTLS وناقل العنقود لدى Redis وValkey. الإصدارات المطلوبة الآن وما ينبغي تقييده.

تاريخ النشر
مدة القراءة
5 دقائق
الكاتب
SKYLINE Engineering

تنبيه أمني ثغرة أمنية

الخطورة: عالية الحالة: تم التصحيح
معرّفات CVE
الحالة
تتوفر نسخ مصحّحة لـ دبيان 13 (trixie) ودبيان 12 (bookworm).
المتأثر
  • حزمة valkey في دبيان 13 (trixie) قبل الإصدار 8.1.1+dfsg1-3+deb13u3
  • حزمة redis في دبيان 13 (trixie) قبل الإصدار 5:8.0.2-3+deb13u3
  • حزمة redis في دبيان 12 (bookworm) قبل الإصدار 5:7.0.15-1~deb12u10
  • حزمة redis في دبيان 12 (bookworm) قبل الإصدار 5:7.0.15-1~deb12u9
  • حزمة redis في دبيان 12 (bookworm) قبل الإصدار 5:7.0.15-1~deb12u8
  • حزمة redis في دبيان 12 (bookworm) قبل الإصدار 5:7.0.15-1~deb12u7
  • حزمة redis في دبيان 13 (trixie) قبل الإصدار 5:8.0.2-3+deb13u2
  • حزمة valkey في دبيان 13 (trixie) قبل الإصدار 8.1.1+dfsg1-3+deb13u2
تاريخ النشر
آخر تحديث

ما الذي يجب عليك فعله

  • ارفع redis-server وvalkey-server إلى الإصدارات الواردة في الجدول على الأقل، ثم أعد تشغيلهما.
  • تأكد أن أي نسخة لا تستمع على عنوان عام دون مصادقة.
  • اسحب صلاحيات RESTORE والسكربتات من المستخدمين الذين لا يحتاجونها.
  • إن كنت تشغّل Redis Cluster على ديبيان 13، فاحمِ منفذ ناقل العنقود بجدار الحماية وتابع حالة CVE-2026-92925 في المتتبع.
  • انقل أي خوادم Redis باقية على ديبيان 11 إلى ديبيان 12 أو 13.
التسلسل الزمني
  1. نشرت دبيان التحذير الأمني DSA-6198-1 لحزمة valkey.
  2. نشرت دبيان التحذير الأمني DSA-6279-1 لحزمة redis.
  3. نشر فريق الدعم طويل الأمد في دبيان التحذير DLA-4682-1 لحزمة redis.
  4. نشر فريق الدعم طويل الأمد في دبيان التحذير DLA-4722-1 لحزمة redis.
  5. نشر فريق الدعم طويل الأمد في دبيان التحذير DLA-4794-1 لحزمة redis.
  6. نشرت دبيان التحذير الأمني DSA-6538-1 لحزمة redis.
  7. نشرت دبيان التحذير الأمني DSA-6586-1 لحزمة valkey.
  8. نشرت سكايلاين هذا الملخص.

تلقّت Redis والمشروع المتفرع عنها Valkey سلسلة متواصلة من الإصلاحات الأمنية في ديبيان خلال 2026. وأحدثها النشرة DSA-6586-1 للحزمة valkey (27 أكتوبر)، وDSA-6538-1 للحزمة redis في ديبيان 13 (2 أكتوبر)، وDLA-4794-1 للحزمة redis في ديبيان 12 (24 سبتمبر). وكل تحديث يتضمن ما سبقه، لذا فالسؤال العملي ببساطة: هل تشغّل أحدث حزمة؟

لمحة سريعة

الإصدارالحزمةالحد الأدنى المطلوبآخر نشرة
ديبيان 13 (trixie)redis5:8.0.2-3+deb13u3DSA-6538-1 (2 أكتوبر 2026)
ديبيان 13 (trixie)valkey8.1.1+dfsg1-3+deb13u3DSA-6586-1 (27 أكتوبر 2026)
ديبيان 12 (bookworm)redis5:7.0.15-1~deb12u10DLA-4794-1 (24 سبتمبر 2026)

الخطورة: عالية. تصنّف Redis الثغرتين CVE-2026-25243 وCVE-2026-23479 عاليتين، وتحمل ثغرة Valkey ذات الرقم CVE-2026-63639 تقييم CVSS 3.1 8.8. ولا توجد أي من الثغرات أدناه في قائمة CISA للثغرات المستغلة فعليًا (30 أكتوبر 2026)، وإن كانت سجلات CISA تذكر وجود شيفرة إثبات مفهوم منشورة للثغرتين CVE-2026-81934 وCVE-2026-66373.

ما هي الثغرات

تتوزع إصلاحات 2026 على خمسة مجالات. ومعظمها يتطلب عميلًا يستطيع الاتصال وتنفيذ الأمر المعني، ويشمل ذلك في Redis وValkey كل من يصل إلى نسخة بلا كلمة مرور.

  • حمولات RESTORE. تسمح CVE-2026-25243 (عالية لدى Redis) لعميل مخوّل بتنفيذ RESTORE بتمرير قيمة مُسلسلة مصممة قد تؤدي إلى تنفيذ تعليمات برمجية. وتسد CVE-2026-66373 إصلاحًا ناقصًا لها (تحرير مزدوج للذاكرة)، أما CVE-2026-63639 فهي الثغرة المقابلة في Valkey.
  • العملاء المحجوبون والنسخ المتماثل. الثغرة CVE-2026-23479 استخدام بعد التحرير في مسار فك حجب العميل (في Redis 7.2 وما بعده، فلا تخص حزمة bookworm). أما CVE-2026-23631 فتستغل مزامنة الخادم الرئيسي مع النسخ المتماثلة حين يكون الإعداد replica-read-only معطّلًا، وتذكر ديبيان أن الأنظمة التي تمنع المستخدمين من تشغيل سكربتات Lua لم تتأثر.
  • TLS. الثغرة CVE-2026-81934 استخدام بعد التحرير في معالجة بيانات TLS المعلّقة، وتقول نشرة ديبيان إن مهاجمًا عن بُعد دون مصادقة ربما تمكن من تنفيذ أوامر عشوائية. وهي تنطبق فقط عند تفعيل TLS، ونظيرتها في Valkey هي CVE-2026-56684.
  • ناقل العنقود. الثغرتان CVE-2026-21863 وCVE-2026-92925 قراءة خارج الحدود عند تحليل حزم ناقل العنقود قد توقف العقدة، ولا تهمان إلا في وضع العنقود.
  • ردود Lua. تسمح CVE-2025-67733 لسكربت بحقن محارف CR/LF في رد خطأ والتلاعب بالردود على الاتصال نفسه (أُصلحت في DSA-6198-1 لـ Valkey وDSA-6279-1 لـ Redis).

وتصلح النشرة DSA-6538-1 أيضًا عدة مشكلات دون أرقام CVE، منها تجاوز فحص صلاحيات المفاتيح في ACL لأوامر SORT وGEORADIUS وXREAD وما يتصل بها. وعلى ديبيان 13 ما زال المتتبع يعرض CVE-2026-92925 مفتوحة لحزمة redis دون نشرة DSA مخططة، لذا ينبغي لمستخدمي العناقيد إبقاء منفذ ناقل العنقود داخل شبكة خاصة.

هل أنت متأثر؟

apt policy redis-server     # Debian 12 and 13
apt policy valkey-server    # Debian 13
sudo ss -ltnp | grep -E 'redis|valkey'

إن كان سطر Installed أقل من الإصدار في الجدول، فأنت تفتقد إصلاحًا واحدًا على الأقل. وتحقق كذلك من تفعيل TLS ووضع العنقود:

grep -E '^(tls-port|cluster-enabled|replica-read-only)' /etc/redis/redis.conf

أما Valkey فملفه داخل المجلد /etc/valkey/.

طريقة التحديث

sudo apt update
sudo apt install --only-upgrade redis-server redis-tools     # Redis
sudo apt install --only-upgrade valkey-server valkey-tools   # Valkey

والأمر sudo apt upgrade الكامل يؤدي الغرض نفسه مع بقية التحديثات المعلّقة. وقد حصلت ديبيان 11 (bullseye) على آخر إصلاح لـ Redis في أغسطس 2026 (DLA-4722-1)، وانتهت فترة دعمها طويل الأمد في 31 أغسطس 2026، فلن تصلها الإصلاحات اللاحقة.

إعادة تشغيل الخدمة أم الخادم؟

لا حاجة لإعادة تشغيل الخادم. أعد تشغيل كل نسخة ليعمل الملف التنفيذي الجديد، ويفضّل في وقت هادئ إن لم تكن البيانات محفوظة على القرص:

sudo systemctl restart redis-server        # or valkey-server, or redis-server@name
systemctl show -p ActiveEnterTimestamp redis-server

وفي بيئة النسخ المتماثل أو العنقود، أعد تشغيل النسخ المتماثلة أولًا، ثم انقل الدور الرئيسي وأعد تشغيل الخادم الرئيسي.

قيّد ما يستطيع العملاء فعله

عدد من هذه الثغرات يحتاج أوامر بعينها. فإن كان تطبيقك لا يستخدم RESTORE أو السكربتات، فاحذفها من صلاحيات مستخدم ACL الخاص به، مثلًا ACL SETUSER appuser -restore -@scripting، بعد التأكد من أن مكتباتك لا تعتمد عليها. وأبقِ النسخ المتماثلة للقراءة فقط، وأبعد منفذ ناقل العنقود والمنفذ الرئيسي عن الإنترنت العام، واشترط كلمة مرور أو مستخدمي ACL في كل نسخة.

المصادر

المواضيع

SKYLINE Engineering

@skyline

The engineering team at SKYLINE Industrial Solutions. We publish field-tested guides drawn from real KSA and GCC deployments.

صفحة الكاتب
المزيد في ديبيان

ذات صلة: أدلة Skyline Nexus ERP

قاعدة معرفة Nexus ←
Skyline Nexus ERP

أدلة الضرائب والفوترة الإلكترونية في الخليج والشرق الأوسط

ضريبة القيمة المضافة، الفوترة الإلكترونية (زاتكا) وضريبة الشركات للسعودية والإمارات ودول الخليج.

 Skyline Nexus ERP

Skyline Nexus ERP — محاسبة سحابية وفوترة زاتكا الإلكترونية

نظام ERP سحابي من سكاي لاين: المحاسبة والفوترة والمخزون ونقاط البيع. الشهر الأول مجانًا.
SKYLINE engineering services

Need this implemented for you?

Reading is free — building it right takes a team. SKYLINE engineers ship Debian for Aramco vendors, banks, hospitals and government agencies across Saudi Arabia. Talk to us before you start.

Server Infrastructure Dell, HPE, Huawei, VMware, Hyper-V, HCI IT AMC Annual maintenance, 24/7 SLA, Bronze→Platinum
Talk to a SKYLINE engineer Call +966 50 993 9334
Aramco Approved Contractor ISO 9001 · ISO 27001 SAMA CSF aligned NCA ECC ready 247+ KSA clients

Comments

0 total · 0 threads
Be the first to leave a comment.