نشرت دبيان في 21 أكتوبر 2026 النشرة DSA-6575-1 لخادم nginx في دبيان 13 (trixie)، وعالجت فيها خمس ثغرات أعلنها مشروع nginx معاً. وتذكر دبيان أنها قد تؤدي، بحسب الإعدادات، إلى إفساد الذاكرة أو حجب الخدمة أو حقن طلبات إلى الخوادم الخلفية أو تجاوز المصادقة بشهادات العملاء. ويصنف nginx الثغرات الخمس بأنها متوسطة الخطورة. أما دبيان 12 (bookworm) فلم تصدر له نشرة دعم ممتد حتى 31 أكتوبر 2026.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | nginx |
| دبيان 13 (trixie) | الإصلاح في 1.26.3-3+deb13u10 |
| دبيان 12 (bookworm) | لم يُصلح بعد: يعرض المتتبع الإصدار 1.22.1-9+deb12u10 على أنه متأثر، وnginx مدرج في قائمة عمل فريق الدعم الممتد |
| الحزم الثنائية | nginx وnginx-common وأي وحدات libnginx-mod-* مثبتة |
| الثغرات | CVE-2026-15176 وCVE-2026-93479 وCVE-2026-95101 وCVE-2026-97205 وCVE-2026-97629 |
| الخطورة | متوسطة بحسب تصنيف nginx للثغرات الخمس |
ما طبيعة الثغرات
تعتمد كل ثغرة على استخدام ميزات محددة، وهذا يساعدك على تقدير مدى تعرض خادمك:
- CVE-2026-15176، الأمر
aliasمع إعادة الكتابة. تحويل عنوان URI بعد إعادة كتابته إلى مسار ملف داخلlocationيستخدمaliasقد يتسبب في تجاوز سعة مخزن مؤقت. - CVE-2026-93479، تقييم التعبيرات النصية. تقييم تعبيرات مثل جذور المستندات المتغيرة أو مسارات سجلات الوصول قد يتجاوز سعة مخزن مؤقت، وتشير دبيان إلى أن هذه الشيفرة دخلت حزمة trixie عبر نقل أمني سابق.
- CVE-2026-95101، بروتوكول HTTP/3. قد تُعامل إطارات HTTP/3 المجزأة غير المعروفة على أنها جزء من جسم الطلب، وعند العمل وكيلاً قد يسمح ذلك بحقن طلبات إلى الخادم الخلفي أو تجاوز حدود حجم الطلب. ويذكر nginx أن الإصدارات من 1.25.0 فما بعد متأثرة.
- CVE-2026-97205، الإدخال والإخراج غير المتزامن للملفات (
aio). قد يتجاوز عداد العمليات المعلقة حده فتُحرَّر ذاكرة الطلب وهي ما زالت مستخدمة، مع احتمال إفساد الذاكرة أو حجب الخدمة. - CVE-2026-97629، تذاكر جلسات TLS. قد تستخدم العمليات العاملة مادة مفاتيح غير مهيأة للتذاكر، مما قد يسمح بتزوير جلسات TLS وتجاوز المصادقة بشهادات العملاء. وتذاكر الجلسات مفعلة افتراضياً في nginx (
ssl_session_tickets on).
تمنح شركة F5، وهي الجهة المصدرة لمعرّفات nginx، الثغرات CVE-2026-15176 وCVE-2026-93479 وCVE-2026-97205 درجة CVSS 3.1 قدرها 8.1 مع تعقيد هجوم مرتفع. ولا تظهر أي من الثغرات الخمس في قائمة CISA للثغرات المستغلة فعلياً حتى 30 أكتوبر 2026.
هل أنت متأثر؟
افحص الإصدار المثبت:
dpkg -l 'nginx*' 'libnginx-mod-*'
apt policy nginx nginx-commonفي دبيان 13 يتأثر أي إصدار أقدم من 1.26.3-3+deb13u10. ولمعرفة أي الميزات السابقة تستخدمها إعداداتك، اطبع الإعدادات كاملة (الخيار -T يختبرها ويعرضها) وابحث فيها:
sudo nginx -T 2>/dev/null | grep -nE '^\s*(alias|aio|ssl_session_tickets)\b|quic'أما في دبيان 12 فما زالت صفحة nginx في المتتبع تعرض الثغرات الخمس دون إصلاح لـ bookworm حتى 31 أكتوبر 2026، وnginx مدرج في قائمة العمل dla-needed.txt لفريق الدعم الممتد. تابع القائمة البريدية debian-lts-announce لصدور النشرة. ودبيان 11 (bullseye) تجاوز نهاية الدعم الممتد وينبغي ترقيته.
طريقة التحديث
sudo apt update
sudo apt upgradeأو اقصر التحديث على nginx، مع إضافة أي حزم libnginx-mod-* ظهرت في dpkg -l حتى تُحدَّث مع nginx في الوقت نفسه:
sudo apt install --only-upgrade nginx nginx-commonوتختلف حزم nginx في أوبونتو، فراجع نشرات أوبونتو الأمنية.
هل تحتاج إلى إعادة تشغيل؟
لا حاجة إلى إعادة تشغيل الخادم. اختبر الإعدادات ثم أعد تشغيل nginx حتى تعمل كل العمليات بالملف التنفيذي الجديد:
sudo nginx -t
sudo systemctl restart nginx
sudo systemctl status nginx --no-pagerالمصادر
- security-tracker.debian.org/tracker/DSA-6575-1
- debian.org/security/2026/dsa-6575
- lists.debian.org/debian-security-announce/2026/msg00490.html
- nginx.org/en/security_advisories.html
- cve.org/CVERecord?id=CVE-2026-15176
- cve.org/CVERecord?id=CVE-2026-97629
- security-tracker.debian.org/tracker/CVE-2026-15176
- security-tracker.debian.org/tracker/nginx
- salsa.debian.org/security-tracker-team/security-tracker/-/raw/master/data/dla-needed.txt
- packages.debian.org/source/trixie/nginx
- nginx.org/en/docs/switches.html
- nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_session_tickets
- lists.debian.org/debian-lts-announce
Comments
0 total · 0 threads