نشرت دبيان بين 8 سبتمبر و22 أكتوبر 2026 سبعة تحديثات أمنية لنواة لينكس: تحذيران من نوع DSA لدبيان 13 (trixie)، وخمسة تحذيرات من نوع DLA لدبيان 12 (bookworm) الذي يتلقى إصلاحاته الأمنية الآن من فريق الدعم طويل الأمد (LTS). يسرد كل تحذير مئات الثغرات، وتلخّص دبيان الأثر بالعبارة نفسها في كل مرة: قد تؤدي الثغرات إلى رفع الصلاحيات أو إيقاف الخدمة أو تسريب المعلومات. ولا يسري الإصلاح إلا بعد إعادة تشغيل الخادم على النواة الجديدة.
نظرة سريعة
| الإصدار | الحزمة المصدرية | التحذير | التاريخ | النسخة المصحَّحة | عدد الثغرات |
|---|---|---|---|---|---|
| دبيان 13 (trixie) | linux | DSA-6528-1 | 29 سبتمبر 2026 | 6.12.111-1 | 1311 |
| دبيان 13 (trixie) | linux | DSA-6568-1 | 16 أكتوبر 2026 | 6.12.113-1 | 273 |
| دبيان 12 (bookworm) | linux (سلسلة 6.1) | DLA-4777-1 | 8 سبتمبر 2026 | 6.1.187-1 | 600 |
| دبيان 12 (bookworm) | linux (سلسلة 6.1) | DLA-4841-1 | 17 أكتوبر 2026 | 6.1.190-1 | 924 |
| دبيان 12 (bookworm) | linux-6.12 | DLA-4788-1 وDLA-4817-1 وDLA-4850-1 | 19 سبتمبر و4 أكتوبر و22 أكتوبر 2026 | 6.12.113-1~deb12u1 (الأحدث) | 412 و1312 و575 |
الخطورة: أعلى درجة بين الثغرات التي راجعناها هي للثغرة CVE-2026-72463، وهي استخدام لذاكرة بعد تحريرها في مسار الاستقبال الخاص بـ xfrm (أي IPsec) في النواة، ودرجتها 9.8 (حرجة) وفق الجهة المُصدِرة. ويصف سيناريو الجهة المُصدِرة إمكانية الوصول إليها عبر حركة IPsec قادمة من الشبكة على بوابات VPN التي تستخدم واجهات VTI أو xfrm. وقد أُصلحت في DSA-6568-1 وDLA-4850-1. ولا توجد أي ثغرة من ثغرات هذه التحذيرات السبعة في كتالوج CISA للثغرات المستغلة فعليًا (KEV) حتى 30 أكتوبر 2026.
ما طبيعة الثغرات؟
تغطي القوائم النواة بأكملها: الشبكات (netfilter وIPv6 وIPsec)، وأنظمة الملفات (JFS وعميل SMB)، وبرامج تشغيل الأجهزة وغيرها. ومن أمثلة DSA-6568-1: الثغرة CVE-2025-40158 في مسار إخراج IPv6 (درجتها 8.1)، وCVE-2026-52988 في nf_tables (درجتها 7.1، وأُصلحت لـ bookworm أيضًا في DLA-4841-1)، وCVE-2026-74347 في مهلات تتبّع الاتصالات في netfilter (درجتها 7.8). ومن بين الثغرات الست التي راجعناها، صُنّفت أربع على أنها محلية (يحتاج المهاجم إلى حساب أو شيفرة تعمل على الجهاز)، واثنتان على أنه يمكن الوصول إليهما عبر الشبكة.
وخلال الأسابيع نفسها أضافت CISA أربع ثغرات أقدم في النواة إلى كتالوج KEV: CVE-2025-39682 وCVE-2025-39964 وCVE-2026-53266 في 18 سبتمبر، وCVE-2026-46300 في 28 أكتوبر. ويُظهر متتبع الأمان في دبيان أن الأربع جميعًا أُصلحت في trixie وفي نواة 6.1 الخاصة بـ bookworm ضمن تحديثات سابقة، فهاتان النواتان بالنسخ المذكورة أعلاه تتضمنانها.
هل أنت متأثر؟
كل جهاز يعمل بدبيان 12 أو 13 بنواة أقدم من النسخة المصحَّحة متأثر. تحقق من النواة العاملة وحزم النواة المثبتة:
uname -r
dpkg -l 'linux-image-*' | grep '^ii'
apt policy linux-image-amd64تحمل أسماء حزم النواة في دبيان «اسم ABI» يتغير مع كل تحديث. بعد هذه التحديثات ينبغي أن ترى linux-image-6.12.113+deb13-amd64 على trixie وlinux-image-6.1.0-54-amd64 على bookworm (سلسلة 6.1)، وتسحبهما الحزمة الوصفية linux-image-amd64. وإن كنت قد ثبّتّ سلسلة 6.12 على bookworm فحزمتها الوصفية هي linux-image-6.12-amd64. وقد تستخدم صور الخوادم السحابية النكهة -cloud-amd64 بدلًا من ذلك، ويخبرك uname -r بما تشغّله فعلًا.
كيف تحدّث؟
sudo apt update
sudo apt upgrade
dpkg -l 'linux-image-*' | grep '^ii'استخدم apt upgrade أو apt full-upgrade. فلأن كل تحديث يأتي باسم حزمة جديد، تحتاج الحزمة الوصفية إلى تثبيت حزمة جديدة. وبحسب صفحات الدليل، يثبّت apt upgrade حزمًا جديدة إذا تطلبتها الاعتماديات، بينما لا يثبّت apt-get upgrade أبدًا حزمًا غير مثبتة مسبقًا، فقد تبقى النواة معلّقة إذا استخدمت apt-get.
إعادة تشغيل الخدمة أم الخادم؟
إعادة تشغيل الخادم ضرورية، إذ تبقى النواة القديمة عاملة حتى ذلك الحين. وبعد إعادة التشغيل تأكد بالأمرين:
uname -r
sudo needrestart -kينبغي أن يُظهر uname -r اسم ABI الجديد، أما needrestart -k (من الحزمة needrestart) فيفحص فقط ما إذا كانت النواة العاملة قديمة. وعلى الخادم الافتراضي، فإن النواة داخل خادمك مسؤوليتك تحديثًا وإعادة تشغيل، وتحديثات المضيف لدى المزوّد لا تحلّ محلها.
المصادر
- security-tracker.debian.org/tracker/DSA-6568-1
- lists.debian.org/debian-security-announce/2026/msg00482.html
- debian.org/security/2026/dsa-6568
- security-tracker.debian.org/tracker/DSA-6528-1
- lists.debian.org/debian-security-announce/2026/msg00441.html
- debian.org/security/2026/dsa-6528
- security-tracker.debian.org/tracker/DLA-4841-1
- lists.debian.org/debian-lts-announce/2026/10/msg00035.html
- security-tracker.debian.org/tracker/DLA-4777-1
- lists.debian.org/debian-lts-announce/2026/09/msg00012.html
- security-tracker.debian.org/tracker/DLA-4850-1
- security-tracker.debian.org/tracker/DLA-4817-1
- security-tracker.debian.org/tracker/DLA-4788-1
- cve.org/CVERecord?id=CVE-2026-72463
- cve.org/CVERecord?id=CVE-2025-40158
- cve.org/CVERecord?id=CVE-2026-52988
- cve.org/CVERecord?id=CVE-2026-74347
- security-tracker.debian.org/tracker/CVE-2025-39964
- security-tracker.debian.org/tracker/CVE-2026-53266
- cisa.gov/known-exploited-vulnerabilities-catalog
- deb.debian.org/debian-security/dists/trixie-security/main/binary-amd64/Packages.xz
- deb.debian.org/debian-security/dists/bookworm-security/main/binary-amd64/Packages.xz
- kernel-team.pages.debian.net/kernel-handbook/ch-versions.html
- manpages.debian.org/trixie/apt/apt.8.en.html
- manpages.debian.org/trixie/apt/apt-get.8.en.html
- manpages.debian.org/trixie/needrestart/needrestart.1.en.html
Comments
0 total · 0 threads