شركة سعودية · الرياضدليل تقني
إصدار تصحيح أمني لـ PostgreSQL 18.6: ثغرات CVE الحرجة ودليل العمليات
يصلح PostgreSQL 18.6 ثغرات CVE حرجة تشمل تجاوزات مخزن البيانات (heap buffer overflows) وتضارب الأنواع (type confusion). تعلّم كيفية تصحيح PostgreSQL 14-18 بأمان في بيئة GCC للمؤسسات...
تعالج الإصدارات PostgreSQL 18.6، و17.11، و16.15، و15.19، و14.24 عدة ثغرات CVE عالية الخطورة. يوضح هذا الدليل الثغرات الحرجة، بما في ذلك مشاكل تجاوز مخزن البيانات وتضارب الأنواع، ويوفر خطوات تشغيلية لفرق المؤسسات في منطقة GCC لتأمين بيئات PostgreSQL الخاصة بها.
متطلبات التصحيح الفوري للإصدارات المدعومة
في 13 أغسطس 2026، أصدرت مجموعة تطوير PostgreSQL العالمية تحديثات جزئية لجميع الإصدارات الرئيسية المدعومة حاليًا: 18.6، و17.11، و16.15، و15.19، و14.24. تعالج هذه الإصدارات مجموعة من ثغرات الأمان التي تؤثر على الخادم الأساسي وأدوات العملاء ووحدات الإسهام (contrib modules). في بيئات المؤسسات في المملكة العربية السعودية ومنطقة GCC، حيث تُعد سيادة البيانات والامتثال عوامل مهمة، يؤدي تأخير هذه التصحيحات إلى تعريض البنية التحتية الحرجة لمخاطر تنفيذ عن بُعد للأكواد.
يتبع مشروع PostgreSQL نموذج المسؤولية المشتركة: يوفر محرك قاعدة البيانات ميزات أمان متأصلة، لكن بيئة النشر، بما في ذلك نظام تشغيل وتطبيق الطبقة، يجب أن تكون مؤمّنة أيضًا. الثغرات المُصحَّحة في هذا الدورة داخلية في قاعدة أكواد PostgreSQL. تشير ملاحظات الإصدار إلى أن هذه التصحيحات تراكمية؛ يحتوي الإصدار الرئيسي الجديد على جميع تصحيحات الأمان السابقة، ولكن بالنسبة للتثبيتات الحالية، فإن تطبيق أحدث إصدار جزئي هو الطريقة الوحيدة لضمان الحماية ضد الثغرات المكشوفة.
طبّق PostgreSQL 18.6 أو 17.11 أو 16.15 أو 15.19 أو 14.24 فورًا على جميع عناقيد الإنتاج والاختبار (staging).
تحقق من أن نظام إدارة الحزم (apt أو yum أو المثبِّتات الثنائية) يسحب أحدث الإصدارات الجزئية.
راجع عملية إدارة التغيير لديك لإعطاء الأولوية لهذه التصحيحات الأمنية على تحديثات الميزات.
ثغرات الخادم الأساسية الحرجة
تشمل أشد الثغرات خطورة في دورة الإصدار هذه الخادم الأساسي، حيث تحمل عدة ثغرات درجة أساسية CVSS v3 تبلغ 8.8. تتيح هذه المشاكل للمستخدم ذي الامتيازات المنخفضة تنفيذ أكواد عشوائية أو الحصول على وصول غير مصرح به إلى البيانات. تتضمن CVE-2026-16239 تضارب أنواع في عمليات إغلاق وإعلان المؤشرات (cursor CLOSE and DECLARE)، مما قد يؤدي إلى تنفيذ أكواد عشوائية. تعالج CVE-2026-14670 وCVE-2026-14669 تجاوزات مخزن البيانات في الكائنات المرتبطة بـ plperl ودالة to_char على التوالي، وكلاهما قد يؤدي إلى تنفيذ أكواد عشوائية.
تعد CVE-2026-14664 تجاوزًا لمخزن البيانات في وحدة التعبيرات النمطية (regexp). تُستخدم التعبيرات النمطية على نطاق واسع في معالجة البيانات ومنطق التحقق، لذا فإن هذه الثغرة تشكل خطرًا كبيرًا على التطبيقات التي تتعامل مع مدخلات غير موثوقة. تعالج CVE-2026-14662 تخصيصات صغيرة الحجم في tsvector وtsquery عبر التفاف الأعداد الصحيحة (integer wraparound)، مما قد يؤدي أيضًا إلى تنفيذ أكواد عشوائية. تؤثر هذه الثغرات على عمليات SQL الأساسية وأنواع البيانات.
CVE-2026-16239: تضارب أنواع في عمليات المؤشرات يتيح تنفيذ أكواد عشوائية.
CVE-2026-14670: تجاوز مخزن البيانات في الكائنات المرتبطة بـ plperl يتيح تنفيذ أكواد عشوائية.
CVE-2026-14669: تجاوز مخزن البيانات في دالة to_char يتيح تنفيذ أكواد عشوائية.
CVE-2026-14664: تجاوز مخزن البيانات في وحدة regexp يتيح تنفيذ أكواد عشوائية.
CVE-2026-14662: تخصيصات صغيرة الحجم في tsvector وtsquery تتيح تنفيذ أكواد عشوائية.
مخاطر جانب العميل ووحدات الإسهام
لا تقتصر ثغرات الأمان على الخادم. يعالج إصدار أغسطس 2026 أيضًا مشاكل حرجة في أدوات العملاء ووحدات الإسهام. تعد CVE-2026-19385 تجاوزًا لمخزن البيانات في pg_dump يتيح تنفيذ أكواد عشوائية. هذا خطر على مسؤولي قواعد البيانات وسكربتات النسخ الاحتياطي الآلية، حيث أن pg_dump أداة قياسية لهجرة البيانات والنسخ الاحتياطي. إذا استطاع المهاجم التأثير على البيانات المُصدَّرة أو البيئة التي يعمل فيها pg_dump، فقد يتمكن من اختراق نظام المضيف.
في وحدات الإسهام، تعالج CVE-2026-14676 تجاوزًا لمخزن البيانات في pg_stat_statements، وهو امتداد مستخدم على نطاق واسع لمراقبة الأداء. تتيح هذه الثغرة تنفيذ أكواد عشوائية وهي حرجة لأي بيئة تستخدم pg_stat_statements لتحليل الاستعلامات. تتضمن CVE-2026-15742 وحدة fuzzystrmatch، حيث يمكن أن يؤدي التفاف الأعداد الصحيحة إلى كتابة عناوين عشوائية فعليًا. تتطلب ثغرات جانب العميل والامتدادات تحديث ثنائيات الخادم فقط، ولكن أيضًا جميع الأدوات والامتدادات المرتبطة بها.
CVE-2026-19385: تجاوز مخزن البيانات في pg_dump يتيح تنفيذ أكواد عشوائية.
CVE-2026-14676: تجاوز مخزن البيانات في pg_stat_statements يتيح تنفيذ أكواد عشوائية.
CVE-2026-15742: التفاف الأعداد الصحيحة في fuzzystrmatch يتيح كتابة عناوين عشوائية.
حدّث جميع أدوات العملاء، بما في ذلك psql وpg_dump وpg_restore، إلى أحدث الإصدارات.
تأكد من تحديث جميع وحدات الإسهام، مثل pg_stat_statements وfuzzystrmatch.
الخطوات التشغيلية لفرق المؤسسات في منطقة GCC
بالنسبة لمهندسي PostgreSQL ومسؤولي قواعد البيانات في منطقة GCC، يجب أن يكون الاستجابة التشغيلية لهذا الإصدار منهجية. أولاً، قم بتدقيق جميع حالات PostgreSQL لتحديد الإصدارات الجزئية الحالية. أي حالة تعمل بإصدار يسبق 18.6 أو 17.11 أو 16.15 أو 15.19 أو 14.24 فهي عرضة للثغرات CVE المكشوفة. ثانيًا، خطط لعملية التصحيح لتقليل وقت التوقف. للعناقيد عالية التوفر، استخدم الترقية المتدحرجة (rolling upgrades) أو التكرار المنطقي (logical replication) لتطبيق التصحيحات على عقد النسخ الاحتياطي قبل ترقيتها.
ثالثًا، تحقق من سلامة عمليات النسخ الاحتياطي والاستعادة. نظرًا لأن pg_dump متأثر بثغرة حرجة، تأكد من أن سكربتات النسخ الاحتياطي لديك تستخدم الثنائيات المحدثة. اختبر عملية الاستعادة في بيئة غير إنتاجية للتأكد من أن الإصدارات الجديدة تعمل بشكل صحيح مع بياناتك وإعداداتك الحالية. أخيرًا، راقب أنظمتك بحثًا عن أي نشاط غير عادي قد يشير إلى محاولة استغلال، مع التركيز بشكل خاص على الاستعلامات التي تتضمن التعبيرات النمطية وplperl وعمليات المؤشرات.
قم بتدقيق جميع حالات PostgreSQL لتحديد الإصدارات السابقة لإصدار أغسطس 2026.
خطط للترقية المتدحرجة للعناقيد عالية التوفر لتقليل وقت التوقف.
حدّث pg_dump وأدوات العملاء الأخرى إلى أحدث الإصدارات.
اختبر عمليات النسخ الاحتياطي والاستعادة في بيئة غير إنتاجية.
راقب النشاط غير العادي المرتبط بالتعبيرات النمطية وplperl وعمليات المؤشرات.
التقارير الأمنية وإدارة ثغرات CVE
مشروع PostgreSQL هو سلطة ترقيم ثغرات أمنية (CNA)، ويعمل مع Red Hat بصفتها سلطة الترقيم الجذرية (CNA Root). وهذا يتيح للمشروع تعيين أرقام CVE الخاصة به ونشر سجلات CVE الخاصة بـ PostgreSQL والمشاريع ذات الصلة الوثيقة. بالنسبة للفرق المؤسسية، يمكنك الاعتماد على سجلات CVE الرسمية للحصول على معلومات دقيقة حول الثغرات الأمنية وإصلاحاتها. يمنح فريق أمان PostgreSQL الشكر للمبلّغين في ملاحظات الإصدار ويسجّل CVEs للثغرات الأمنية الموثّقة.
إذا اكتشفت ثغرة أمنية في PostgreSQL أو في أي من برامج التثبيت المرتبطة من صفحة تنزيل PostgreSQL، أرسل بريدًا إلكترونيًا إلى security@postgresql.org. سيعمل فريق الأمان على إصلاح المشكلة وإدراج الإصلاح في إصدار التحديث المجدول التالي أو، في الظروف الاستثنائية، إصدار إصدار خارج الجدول. لا يقدم مشروع PostgreSQL مكافآت للثغرات الأمنية، وسيسند فريق الأمان CVEs إلى المشاريع فقط عند طلب أعضاء المشروع. بالنسبة للثغرات الأمنية غير المتعلقة بـ PostgreSQL، مثل تلك الموجودة في pgAdmin أو pgvector، تواصل مع فرق الأمان المعنية.
مشروع PostgreSQL هو سلطة ترقيم ثغرات أمنية (CNA).
بلّغ عن الثغرات الأمنية إلى security@postgresql.org.
سيمنح فريق الأمان الشكر للمبلّغين في ملاحظات الإصدار ويسجّل CVEs.
بالنسبة للثغرات غير المتعلقة بـ PostgreSQL، تواصل مع فرق أمان المشاريع المعنية.
تحدث مع Worlber
تخطط لهجرة PostgreSQL، أو نشر PGEE، أو منصة قواعد بيانات إنتاجية؟ تحدث مع خدمات قواعد بيانات Worlber.
أرسل بريدًا إلكترونيًا إلى contactus@worlber.com
استخدم نموذج التواصل الخاص بـ Worlber
المصادر
الخطوة التالية
تحدث مع مهندسي Worlber
أرسل لنا بيئتك وهدفك. سنوضح لك ما يصلح، وما لا يصلح، والخطوة الآمنة التالية.