لماذا تسرد تحذيرات نواة دبيان مئات الثغرات، وكيف ترتّب أولويات تحديث النواة وإعادة التشغيل

افتح أي تحذير حديث لنواة دبيان وستجد قائمة الثغرات تمتد صفحات. فالتحذير DSA-6528-1 لدبيان 13 (trixie) في 29 سبتمبر 2026 يسرد 1311 ثغرة، والتحذير DLA-4817-1 لنواة 6.12 على دبيان 12 (bookworm) بعده بأيام يسرد 1312. لا يعني ذلك أن النواة صارت فجأة أقل أمانًا بألف مرة، بل يعكس الطريقة التي تُسند بها معرّفات CVE للنواة الآن، ويغيّر الطريقة التي ينبغي أن تتعامل بها مع تحديثاتها.

لماذا طالت القوائم إلى هذا الحد؟

في فبراير 2024 قُبل مشروع نواة لينكس جهةً مُصدِرة لمعرّفات CVE (CNA)، فصار مطورو النواة يسندون معرّفات الثغرات بأنفسهم. ويشرح توثيق CVE في النواة هذه السياسة بوضوح:

• بسبب موقع النواة في النظام فإن «أي خلل تقريبًا قد يكون قابلًا للاستغلال»، لكن ذلك كثيرًا ما لا يكون واضحًا لحظة إصلاحه. لذا يتعمّد فريق الإسناد «الحذر الزائد» فيسند معرّفًا لكل إصلاح يرى أن له صلة محتملة بالأمان، وهذا ما «يفسّر العدد الكبير ظاهريًا من الثغرات».
• تُسند المعرّفات بعد توفر الإصلاح في شجرة نواة مستقرة، وتُتتبَّع بمعرّف الإيداع (commit) الخاص بذلك الإصلاح.
• لا يحكم فريق النواة على انطباق الثغرة على نظامك؛ إذ إن «أعدادًا كبيرة من الثغرات المسندة لا تخص» أي نظام بعينه، لأن كل نظام لا يستخدم إلا جزءًا من الشيفرة المصدرية.
• والنهج الموصى به هو أخذ كل تغييرات النواة المنشورة، المختبرة معًا، بدل انتقاء إصلاحات منفردة.

وتتبع دبيان النهج نفسه، فتحديثات نواتها تنتقل إلى إصدارات مستقرة أحدث من المشروع الأصلي؛ ومثال ذلك أن DLA-4850-1 يذكر أنه «يتضمن أيضًا إصلاحات كثيرة أخرى من التحديثات المستقرة 6.12.112 و6.12.113». وكل ثغرة مرتبطة بتلك الإصدارات تظهر في التحذير، وتلخّص دبيان الأثر بعبارة «رفع الصلاحيات أو إيقاف الخدمة أو تسريب المعلومات».

ماذا يعني ذلك للمخاطر؟

لا يمكنك فرز ألف ثغرة واحدة تلو الأخرى، ولا تحتاج إلى ذلك. تعامل مع كل تحديث للنواة بوصفه حزمة إصلاحات واحدة ينبغي تثبيتها، ثم قرّر مدى السرعة المطلوبة بناءً على بضع إشارات:

• الاستغلال المعروف: تحقق مما إذا كانت أي ثغرة في النواة مدرجة في كتالوج CISA للثغرات المستغلة فعليًا (KEV). ففي سبتمبر وأكتوبر 2026 أضافت CISA أربع ثغرات في النواة: CVE-2025-39682 وCVE-2025-39964 وCVE-2026-53266 في 18 سبتمبر، وCVE-2026-46300 في 28 أكتوبر. ويُظهر متتبع دبيان أن الأربع كانت قد أُصلحت في trixie وbookworm ضمن تحديثات سابقة؛ فالخوادم التي حُدّثت وأعيد تشغيلها بانتظام كانت محمية قبل الإدراج، أما التي تجاهلت التحديثات فلم تكن كذلك.
• إمكانية الوصول عبر الشبكة: بعض الإصلاحات تخص شيفرة تصل إليها حركة الشبكة من الخارج. فالثغرة CVE-2026-72463 التي أُصلحت في DSA-6568-1 وDLA-4850-1 هي استخدام لذاكرة بعد تحريرها في مسار استقبال IPsec (أي xfrm)، ومنحتها جهة النواة درجة 9.8 ووصفتها بأنها قابلة للوصول عبر حزم IPsec بعيدة على بوابات VPN التي تستخدم واجهات VTI أو xfrm.
• من يستطيع تشغيل شيفرة على الجهاز: تحتاج معظم ثغرات النواة إلى وصول محلي. وعلى الخوادم المشتركة وخوادم التكامل المستمر والأنظمة متعددة المستخدمين ومضيفات الحاويات التي تشغّل أحمالًا غير موثوقة يعني «محلي» أي مستأجر، لذا تستحق هذه الأجهزة تحديثًا أسرع.
• الميزات التي تستخدمها فعلًا: خلل في نظام ملفات لا تستخدمه أقل أهمية من خلل في مكدّس الشبكة لديك. قد يخفّض ذلك درجة الاستعجال، لكنه ليس مبررًا لتخطي التحديث.

روتين عملي للنواة

1. ثبّت تحديثات النواة سريعًا عبر sudo apt update && sudo apt upgrade. فأسماء حزم النواة في دبيان تتغير مع كل ABI، لذا استخدم apt upgrade أو apt full-upgrade؛ إذ تذكر صفحة الدليل أن apt-get upgrade لا يثبّت أبدًا حزمًا غير مثبتة مسبقًا، وقد يُبقي النواة الجديدة معلّقة لذلك.
2. أعد التشغيل وفق جدول: لا تحميك النواة الجديدة إلا بعد إعادة التشغيل. حدّد نافذة منتظمة (شهرية مثلًا) ومسارًا طارئًا للثغرات المدرجة في KEV أو القابلة للوصول عبر الشبكة.
3. تأكد من النواة العاملة بعد كل إعادة تشغيل:

uname -r
dpkg -l 'linux-image-*' | grep '^ii'
sudo needrestart -k

يعرض uname -r نسخة النواة العاملة، وهي تطابق اسم حزمة linux-image-... المثبتة، بينما لا يُبلغ needrestart -k إلا عمّا إذا كانت النواة العاملة قديمة.

4. أعد التشغيل بالتناوب حيث يتوفر لديك تكرار (عدة خوادم ويب خلف موزّع أحمال، أو نسخ متماثلة لقاعدة البيانات) حتى لا تُطفئ كل شيء دفعة واحدة.
5. أبقِ نواة سابقة واحدة مثبتة حتى تقلع النواة الجديدة بسلام، لتختارها من قائمة الإقلاع إن حدث تراجع في أحد برامج التشغيل.

الأجهزة الافتراضية والحاويات

يشغّل الجهاز الافتراضي نظام تشغيل ونواة خاصين به. وعلى الخادم الافتراضي الخاص (VPS) لا يحل عمل المزوّد على المضيف الفعلي محل النواة داخل خادمك: فإن كان خادمك يعمل بدبيان فنواة دبيان داخله مسؤوليتك تحديثًا وإعادة تشغيل.

أما الحاويات فعلى العكس؛ فكما يقول توثيق Docker، تتشارك الحاويات المتعددة «النواة نفسها»، ويشير دليله الأمني إلى أن عزل الحاويات قد يكون ناقصًا إذا اجتمع مع ثغرات في النواة. وإعادة بناء صورة الحاوية لا تغيّر النواة التي تعمل عليها، بل يغيّرها فقط تحديث المضيف (أو الجهاز الافتراضي الذي تعمل فيه الحاويات) وإعادة تشغيله.

مزالق ينبغي تجنبها

• مثبتة لكنها لا تعمل: قد يحمل الخادم أحدث حزمة نواة لأشهر وهو ما زال يعمل بالنواة القديمة لأن أحدًا لم يُعد تشغيله.
• نوى معلّقة عند تشغيل التحديثات عبر apt-get upgrade، أو عند غياب الحزمة الوصفية linux-image-* فلا تُسحب النسخ الجديدة أبدًا.
• امتلاء قسم /boot في التثبيتات القديمة، ما قد يُفشل تثبيت النواة.
• إصدارات خارج الدعم: لم يعد دبيان 11 (bullseye) يتلقى تحديثات للنواة منذ انتهاء دعمه طويل الأمد في 31 أغسطس 2026.

ما الذي ينبغي فعله

• ثبّت كل تحديث لنواة دبيان بدل تقييم الثغرات واحدة تلو الأخرى.
• أعد التشغيل وفق جدول ثابت، وبسرعة أكبر عند وجود ثغرات مدرجة في KEV أو قابلة للوصول عبر الشبكة أو في بيئات متعددة المستأجرين.
• تحقق من النواة العاملة عبر uname -r بعد كل إعادة تشغيل.
• حدّث النواة داخل كل جهاز افتراضي، ونواة المضيف التي تعمل عليها حاوياتك.
• تابع debian-security-announce (لـ trixie) وdebian-lts-announce (لـ bookworm) لتعرف متى يصل تحديث جديد للنواة.

المصادر

• docs.kernel.org/process/cve.html
• kroah.com/log/blog/2024/02/13/linux-is-a-cna
• debian.org/security/2026/dsa-6528
• security-tracker.debian.org/tracker/DSA-6528-1
• security-tracker.debian.org/tracker/DLA-4817-1
• security-tracker.debian.org/tracker/DLA-4850-1
• security-tracker.debian.org/tracker/DSA-6568-1
• security-tracker.debian.org/tracker/source-package/linux
• security-tracker.debian.org/tracker/CVE-2025-39964
• security-tracker.debian.org/tracker/CVE-2026-53266
• cve.org/CVERecord?id=CVE-2026-72463
• cve.org/CVERecord?id=CVE-2025-39682
• cve.org/CVERecord?id=CVE-2026-46300
• cisa.gov/known-exploited-vulnerabilities-catalog
• kernel-team.pages.debian.net/kernel-handbook/ch-versions.html
• manpages.debian.org/trixie/apt/apt-get.8.en.html
• manpages.debian.org/trixie/needrestart/needrestart.1.en.html
• docs.docker.com/get-started/docker-concepts/the-basics/what-is-a-container
• docs.docker.com/engine/security
• debian.org/News/2026/20260831