نشرت دبيان في 16 أكتوبر 2026 النشرة DSA-6569-1 للحزمة apache2 في دبيان 13 (trixie). وتنقل هذه النشرة خادم الويب إلى الإصدار الأصلي Apache httpd 2.4.69 وتعالج 19 ثغرة تذكر دبيان أنها قد تؤدي إلى حجب الخدمة أو كشف معلومات أو تجاوز المصادقة أو تهريب طلبات HTTP. ويصنف مشروع Apache أخطرها بأنها متوسطة. أما دبيان 12 (bookworm) فلم يصدر له تحديث الدعم الممتد حتى 31 أكتوبر 2026.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | apache2 |
| دبيان 13 (trixie) | الإصلاح في 2.4.69-1~deb13u1 |
| دبيان 12 (bookworm) | لم يُصلح بعد: يعرض المتتبع الإصدار 2.4.68-1~deb12u1 على أنه متأثر، وapache2 مدرج في قائمة عمل فريق الدعم الممتد |
| الحزم الثنائية | apache2 وapache2-bin وapache2-data وapache2-utils |
| الثغرات | 19 ثغرة (أربع متوسطة وخمس عشرة منخفضة بحسب Apache) |
| الخطورة | متوسطة، فأعلى تصنيف من Apache في هذه المجموعة هو متوسط |
ما طبيعة الثغرات
يعدد إصدار Apache httpd 2.4.69 عشرين ثغرة، تغطي نشرة دبيان 19 منها. أما الثغرة المستثناة CVE-2026-59685 فتخص Apache على ويندوز فقط. ومعظم الثغرات في وحدات اختيارية، لذا يعتمد مدى تعرضك على الوحدات التي تحمّلها.
ثغرات صنفها Apache متوسطة
- CVE-2026-57941 (mod_http2): استخدام ذاكرة بعد تحريرها أو كتابة عشوائية عبر إعادة الدخول في الجلسة، وتمس الإصدارات من 2.4.17 إلى 2.4.68. ويمنحها تقييم CISA على موقع cve.org درجة 9.8، وهي أعلى بكثير من تصنيف Apache نفسه.
- CVE-2026-63292 (mod_vhost_alias): تجاوز سعة المكدس بسبب ترويسة Host أطول من 8192 بايت، ويذكر Apache أنها قد تؤدي إلى حجب الخدمة أو ربما تنفيذ شيفرة. وتتطلب استخدام
VirtualDocumentRootمع محدد تنسيق لاسم المضيف ورفعLimitRequestFieldSizeفوق القيمة الافتراضية. - CVE-2026-42528 وCVE-2026-93546 (mod_dav وmod_dav_fs): يمكن لمستخدمي WebDAV الذين يملكون صلاحية إنشاء الأقفال أو الكتابة إيقاف العمليات العاملة، وقد تفسد الثانية أيضاً قاعدة بيانات الخصائص في المجلد.
ثغرات صنفها Apache منخفضة
- المصادقة: ثلاث ثغرات في mod_auth_digest هي CVE-2026-48005 وCVE-2026-73636 (إعادة إرسال البيانات الملتقطة) وCVE-2026-73637، وكشف ملف تعريف ارتباط الجلسة في mod_session (CVE-2026-47360)، وإمكانية استخدام دوال الملفات في SSLRequire من ملفات
.htaccess(CVE-2026-59797). - الوكيل العكسي: تهريب الردود عبر mod_proxy_uwsgi (CVE-2026-63718)، ومعالجة عنوان PASV في mod_proxy_ftp (CVE-2026-63045)، وتوقف mod_proxy_html (CVE-2026-56449) وmod_xml2enc (CVE-2026-63686) بسبب خوادم خلفية غير موثوقة.
- وحدات أخرى: مسار محدود لتنفيذ شيفرة في بعض عمليات إعادة التوجيه الداخلية داخل مجلدات CGI (CVE-2026-42356)، واستخدام ذاكرة بعد تحريرها في mod_rewrite مع الاستباق (CVE-2026-56154)، وتجاوز سعة الكومة في mod_charset_lite (CVE-2026-56153)، وقراءة خصائص mod_dav_fs (CVE-2026-58415)، وكشف معلومات في mod_userdir (CVE-2026-79768)، وتوقف mod_heartmonitor (CVE-2026-46729).
ولا تظهر أي من هذه الثغرات في قائمة CISA للثغرات المستغلة فعلياً حتى 30 أكتوبر 2026.
هل أنت متأثر؟
افحص الإصدار المثبت والوحدات المحمّلة:
apt policy apache2 apache2-bin
sudo apache2ctl -M | grep -E 'http2|dav|vhost_alias|auth_digest|proxy_uwsgi|proxy_ftp|proxy_html|session|userdir|cgi'في دبيان 13 يتأثر أي إصدار أقدم من 2.4.69-1~deb13u1. أما في دبيان 12 فكانت صفحة apache2 في المتتبع تعرض هذه الثغرات دون إصلاح لـ bookworm حتى 31 أكتوبر 2026، وتشير قائمة dla-needed.txt لفريق الدعم الممتد إلى خطة لنقل bookworm إلى 2.4.69 بالتوازي مع trixie، فتابع القائمة البريدية debian-lts-announce. ودبيان 11 (bullseye) تجاوز نهاية الدعم الممتد وينبغي ترقيته.
طريقة التحديث
sudo apt update
sudo apt upgradeأو حدّث Apache وحده:
sudo apt install --only-upgrade apache2 apache2-bin apache2-data apache2-utilsولأن هذا التحديث إصدار أصلي جديد (2.4.69) وليس ترقيعاً صغيراً، اختبر المواقع المهمة على نسخة تجريبية إن أمكن، وراجع قائمة ثغرات Apache 2.4 للتفاصيل. وتختلف حزم أوبونتو، فراجع نشرات أوبونتو الأمنية.
هل تحتاج إلى إعادة تشغيل؟
لا حاجة إلى إعادة تشغيل الخادم. افحص الإعدادات ثم أعد تشغيل Apache حتى تعمل كل العمليات الفرعية بالشيفرة الجديدة:
sudo apache2ctl configtest
sudo systemctl restart apache2المصادر
- security-tracker.debian.org/tracker/DSA-6569-1
- debian.org/security/2026/dsa-6569
- lists.debian.org/debian-security-announce/2026/msg00483.html
- httpd.apache.org/security/vulnerabilities_24.html
- cve.org/CVERecord?id=CVE-2026-57941
- cve.org/CVERecord?id=CVE-2026-63292
- security-tracker.debian.org/tracker/CVE-2026-42356
- security-tracker.debian.org/tracker/apache2
- salsa.debian.org/security-tracker-team/security-tracker/-/raw/master/data/dla-needed.txt
- packages.debian.org/source/trixie/apache2
- httpd.apache.org/docs/2.4/programs/httpd.html
- manpages.debian.org/trixie/apache2/apache2ctl.8.en.html
- lists.debian.org/debian-lts-announce
Comments
0 total · 0 threads