شركة سعودية · الرياضدليل تقني
إصدار تصحيح أمني لـ PostgreSQL 18.6: ثغرات CVE حرجة وتأثيرها التشغيلي
يُصلح PostgreSQL 18.6 ثغرات أمنية حرجة مثل تجاوزات مخزن الكومة (heap buffer overflows) وخلط الأنواع (type confusion). تعرّف على التأثير التشغيلي، والإصدارات المتأثرة، والإجراءات الفورية...
يعالج PostgreSQL 18.6 عدة ثغرات عالية الخطورة، بما في ذلك تنفيذ الأكواد التعسفي في الوحدات الأساسية ووحدات الإسهام (contrib). يوضح هذا الدليل التأثير التشغيلي والإجراءات المطلوبة لمديري قواعد البيانات.
متطلب فوري لتطبيق التصحيحات على الإصدارات المدعومة
أصدرت المجموعة العالمية لتطوير PostgreSQL الإصدار 18.6 في 13 أغسطس 2026، بالتزامن مع تحديثات للإصدارات 17.11 و16.15 و15.19 و14.24. يُعد هذا الإصدار في الأساس تحديثًا أمنيًا يعالج عددًا كبيرًا من الثغرات عبر الخادم الأساسي وأدوات العملاء ووحدات الإسهام. في بيئات المؤسسات، يستلزم وجود عدة ثغرات CVE بنقاط أساسية CVSS v3 تبلغ 8.8 أو أعلى الانتباه الفوري. تشير ملاحظات الإصدار إلى أن هذه التصحيحات ليست تحسينات اختيارية بل تصحيحات حرجة لعيوب أمنية تتيح وصولًا غير مصرح به أو تنفيذ أكواد.
ينصح فريق أمان PostgreSQL المستخدمين دائمًا بنشر أحدث إصدار فرعي متاح. يضمن ذلك تضمين جميع تصحيحات الأمان السابقة، حيث تحتوي الإصدارات الرئيسية الجديدة على جميع تصحيحات الأمان السابقة. بالنسبة للمؤسسات التي تشغّل الإصدارات من 14 إلى 18، يمثل إصدار أغسطس 2026 المعيار الحالي للتشغيل الآمن. يؤدي تأخير هذا التحديث إلى تعريض الأنظمة لاستغلال ثغرات معروفة، لا سيما تلك التي تتضمن هجمات جانب العميل وتلف الذاكرة جانب الخادم.
انشر PostgreSQL 18.6 أو 17.11 أو 16.15 أو 15.19 أو 14.24 فورًا لمعالجة العيوب الأمنية الحرجة.
تحقق من تحديث جميع أدوات العملاء، بما في ذلك psql وpg_dump، لتطابق إصدار الخادم لمنع الثغرات الأمنية في جانب العميل.
اشترك في قائمة البريد الإلكتروني pgsql-announce مع وسم الأمان (Security tag) لتلقي إشعارات إصدارات الأمان المستقبلية.
تحليل الثغرات عالية الخطورة
تشمل الثغرات الأكثر حرجة في هذا الإصدار تنفيذ الأكواد التعسفي (ACE) وتجاوزات مخزن الكومة. تحمل عدة ثغرات CVE، بما في ذلك CVE-2026-19385 وCVE-2026-16239 وCVE-2026-14676، درجة CVSS تبلغ 8.8. تؤثر هذه المشكلات على الخادم الأساسي ووحدات الإسهام مثل pg_stat_statements وfuzzystrmatch. على سبيل المثال، تتضمن CVE-2026-19385 تجاوزًا لمخزن الكومة في pg_dump يمكن أن يؤدي إلى تنفيذ أكواد تعسفية، بينما تتضمن CVE-2026-16239 خلطًا في الأنواع في عمليات المؤشر (cursor) يتيح تنفيذ الأكواد التعسفي. هذه ليست مخاطر نظرية؛ بل تمثل مسارات قابلة للاستغلال حيث يمكن لمهاجم بصلاحيات منخفضة التصعيد إلى تحكم كامل في عملية PostgreSQL.
بالإضافة إلى ذلك، تعالج CVE-2026-14670 وCVE-2026-14669 تجاوزات مخزن الكومة في plperl وto_char على التوالي، وكلاهما يتيح تنفيذ الأكواد التعسفي. يشير تكرار تجاوزات مخزن الكومة في الدوال الأساسية إلى أن سلامة الذاكرة لا تزال متجه هجوم رئيسي. يجب على مديري قواعد البيانات ملاحظة أن هذه الثغرات غالبًا ما تتطلب تسجيل دخول صالحًا (PR:L) لكنها لا تتطلب تفاعل المستخدم (UI:N)، مما يجعلها مناسبة للاستغلال الآلي في بيئات قواعد البيانات متعددة المستأجرين أو المشتركة.
CVE-2026-19385: تجاوز مخزن الكومة في pg_dump يتيح تنفيذ الأكواد التعسفي (CVSS 8.8).
CVE-2026-16239: خلط الأنواع في إغلاق المؤشر (CLOSE) والإعلان (DECLARE) يتيح تنفيذ الأكواد التعسفي (CVSS 8.8).
CVE-2026-14676: تجاوز مخزن الكومة في pg_stat_statements يتيح تنفيذ الأكواد التعسفي (CVSS 8.8).
CVE-2026-14670: تجاوز مخزن الكومة في كائنات plperl المرتبطة يتيح تنفيذ الأكواد التعسفي (CVSS 8.8).
مخاطر جانب العميل والمصادقة
بالإضافة إلى تلف الذاكرة جانب الخادم، يعالج هذا الإصدار مخاطر كبيرة في أدوات العملاء وآليات المصادقة. تتضمن CVE-2026-18408 أمر psql \unrestrict، والذي يتيح لمستخدم الجذر (superuser) لخادم مصدر pg_dump تنفيذ أكواد تعسفية في عميل psql. هذا خطر حرج للمؤسسات التي تستخدم psql للتفاعل مع نسخ احتياطية من مصادر غير موثوقة أو شبه موثوقة. متجه الهجوم قائم على الشبكة (AV:N) ولا يتطلب صلاحيات (PR:N) في جانب العميل، بل يتطلب فقط تفاعل المستخدم (UI:R)، مما يجعله متجهًا قويًا للهندسة الاجتماعية أو توزيع الملفات الخبيثة.
تتأثر أمان المصادقة أيضًا بـ CVE-2026-14672، الذي يحدد فرقًا في الاستجابة المرصودة مع قيم scram_iterations غير الافتراضية، مما يوفر أداة استعلام لوجود المستخدم (user existence oracle). يتيح ذلك للمهاجم تحديد ما إذا كان اسم مستخدم معين موجودًا في قاعدة البيانات من خلال مراقبة فروق التوقيت أو الاستجابة. على الرغم من أن درجة CVSS هي 5.3، فإن تسريب هذه المعلومات يمكن أن يدعم هجمات التخمين المستهدفة أو حشو البيانات الاعتمادية. يجب على المؤسسات التأكد من ضبط scram_iterations على قيمة قياسية وأن يكون هناك مراقبة للكشف عن أنماط المصادقة غير المعتادة.
CVE-2026-18408: أمر psql \unrestrict يتيح تنفيذ الأكواد التعسفي في العميل (CVSS 8.8).
CVE-2026-14672: أداة استعلام لوجود المستخدم عبر فرق استجابة scram_iterations (CVSS 5.3).
CVE-2026-14681: تطبيق غير مناسب لتشفير GSSAPI عند اقترانه بـ SSL (CVSS 4.2).
أمان وحدات الإسهام والإضافات
يشمل الإصدار أيضًا تصحيحات للثغرات في وحدات الإسهام، التي تُستخدم على نطاق واسع في بيئات الإنتاج. تؤثر CVE-2026-15742 على وحدة fuzzystrmatch، حيث يتيح التفاف الأعداد الصحيحة (integer wraparound) الكتابة إلى عناوين تعسفية فعليًا. تعالج CVE-2026-14671 خلطًا في أنواع ذاكرة الخطة (plan cache) في وحدة refint يتيح تنفيذ الأكواد التعسفي. غالبًا ما تكون هذه الوحدات مفعّلة افتراضيًا أو مثبتة لوظائف محددة، مثل البحث النصي الكامل أو سلامة المرجعيات، مما يجعلها أهدافًا عالية القيمة للمهاجمين.
علاوة على ذلك، تسلط CVE-2026-14663 الضوء على مشكلة حرجة في pgcrypto حيث، للخوارزميات المعطلة في OpenSSL، تقوم الوحدة بتشفير وفك تشفير البيانات الصريحة (cleartext) بصمت. هذا خطر شديد على سرية البيانات لأي تطبيق يعتمد على pgcrypto لتشفير البيانات المخزنة أو البيانات أثناء النقل. يجب على مديري قواعد البيانات تدقيق استخدامهم لـ pgcrypto والتأكد من تمكين وتكوين OpenSSL بشكل صحيح. يعني وضع الفشل الصامت أن البيانات قد تكون مكشوفة دون رفع أي خطأ، مما يجعل المراجعة الاستباقية للتكوين أمرًا أساسيًا.
CVE-2026-15742: التفاف الأعداد الصحيحة في fuzzystrmatch يتيح الكتابة إلى عناوين تعسفية (CVSS 8.8).
CVE-2026-14671: خلط أنواع ذاكرة الخطة في refint يتيح تنفيذ الأكواد التعسفي (CVSS 8.8).
CVE-2026-14663: pgcrypto تشفر بصمت إلى بيانات صريحة للخوارزميات المعطلة في OpenSSL (CVSS 6.5).
توصيات تشغيلية للمؤسسات في المملكة العربية السعودية
لمهندسي PostgreSQL وأصحاب المنصات في المملكة العربية السعودية ودول مجلس التعاون الخليجي، يُعدّ الأثر التشغيلي لهذا الإصدار كبيراً. إن الجمع بين ثغرات الخادم الأساسية والمخاطر على جانب العميل يتطلب استراتيجية ترقيع منسّقة. أولاً، حدّث جميع حالات الخادم إلى أحدث إصدار فرعي. ثانياً، حدّث جميع أدوات العميل، بما في ذلك psql وpg_dump وpg_restore، للتأكد من معالجة الثغرات على جانب العميل. ثالثاً، راجع إعدادات وحدات الإسهام (contrib modules)، ولا سيما pgcrypto وpg_stat_statements، للتأكد من إعدادها بأمان.
يجب على المنظمات أيضاً مراعاة تداعيات استعلام وجود المستخدم (CVE-2026-14672) على استراتيجيات المصادقة الخاصة بها. يمكن للتخفيف من خطر الهجمات المستهدفة من خلال تطبيق تحديد المعدل (rate limiting) ومراقبة محاولات تسجيل الدخول الفاشلة. بالإضافة إلى ذلك، يُبرز تطبيق تشفير GSSAPI غير السليم (CVE-2026-14681) الحاجة إلى إعداد دقيق لطرق المصادقة، خاصة في البيئات التي تُستخدم فيها GSSAPI وSSL معاً. يجب أن تشمل عمليات التدقيق الأمني المنتظمة واختبارات الاختراق فحوصات محددة لهذه الثغرات المعروفة للتأكد من فعالية الترقيعات وعدم بقاء أي مخاطر متبقية.
حدّث جميع أدوات الخادم والعميل إلى أحدث إصدار فرعي للتخفيف من CVEs المعروفة.
راجع إعدادات pgcrypto للتأكد من تمكين OpenSSL وإعداد خوارزميات التشفير بشكل صحيح.
نفّذ مراقبة لشذوذات المصادقة للكشف عن استغلال استعلام وجود المستخدم.
راجع إعدادات GSSAPI وSSL للتأكد من تطبيق التشفير بشكل صحيح.
تحدث مع Worlber
تخطط لهجرة PostgreSQL أو نشر PGEE أو منصة قواعد بيانات إنتاجية؟ تحدث مع خدمات قواعد بيانات Worlber.
أرسل بريدًا إلى contactus@worlber.com
استخدم نموذج التواصل الخاص بـ Worlber
المصادر
الخطوة التالية
تحدث مع مهندسي Worlber
أرسل لنا بيئتك وهدفك. سنوضح لك ما يصلح، وما لا يصلح، والخطوة الآمنة التالية.