شركة سعودية · الرياضدليل تقني
تحديث الأمان والأداء والتشغيليات في PostgreSQL 2026
تحليل إصلاحات الأمان في PostgreSQL 18.6، وثغرات CVE-2026، وتشفير pg_vault_tde، والأدوات التشغيلية للنشر المؤسسي في عام 2026.
مراجعة التصحيحات الأمنية الحرجة في الإصدارات من PostgreSQL 18.6 إلى 14.24، والأدوات الجديدة للتشفير، والتحويلات التشغيلية لعام 2026.
التصحيحات الأمنية الحرجة في إصدارات أغسطس 2026
في 13 أغسطس 2026، أصدرت مجموعة تطوير PostgreSQL العالمية الإصدارات 18.6، و17.11، و16.15، و15.19، و14.24. تعالج هذه التحديثات الثانوية عدة ثغرات عالية الخطورة تؤثر على جميع الإصدارات الرئيسية المدعومة حاليًا. يجب على البيئات المؤسسية تطبيق التصحيحات فورًا للتخفيف من مخاطر تنفيذ الأكواد التعسفية وكشف البيانات.
تشمل أكثر الثغرات خطورة في هذا الدورة CVE-2026-19385 وCVE-2026-18408، وكلاهما مُقيَّم بدرجة CVSS 8.8. تتضمن CVE-2026-19385 فيضان مخزن مؤقت في الكومة (heap buffer overflow) في pg_dump يسمح بتنفيذ الأكواد التعسفية. تسمح CVE-2026-18408 لمستخدم الجذر (superuser) في خادم المصدر الخاص بـ pg_dump بتنفيذ أكواد تعسفية في عميل psql عبر الأمر \unrestrict. بالإضافة إلى ذلك، تعالج CVE-2026-16239 وCVE-2026-14670 مشكلات خلط الأنواع وفيضان مخزن مؤقت في الكومة في الخادم الأساسي التي تسمح للمستخدمين ذوي الامتيازات المنخفضة بتنفيذ الأكواد التعسفية.
CVE-2026-19385: فيضان مخزن مؤقت في الكومة في pg_dump يسمح بتنفيذ الأكواد التعسفية (CVSS 8.8).
CVE-2026-18408: الأمر \unrestrict في psql يسمح للمستخدم الجذر بتنفيذ الأكواد في العميل (CVSS 8.8).
CVE-2026-16239: خلط الأنواع في CLOSE + DECLARE للمؤشرات (cursors) يسمح بتنفيذ الأكواد التعسفية (CVSS 8.8).
CVE-2026-14670: فيضان مخزن مؤقت في الكومة في كائنات plperl المرتبطة يسمح بتنفيذ الأكواد التعسفية (CVSS 8.8).
ثغرات الخادم الأساسي والإضافات
يحتوي الخادم الأساسي ووحدات contrib على عدة عيوب حرجة تم إصلاحها في إصدارات أغسطس 2026. تحدد CVE-2026-14676 فيضان مخزن مؤقت في الكومة في إضافة pg_stat_statements، والتي تُستخدم على نطاق واسع لمراقبة الأداء. تسمح هذه الثغرة بتنفيذ الأكواد التعسفية وهي مُقيَّمة بدرجة CVSS 8.8. وبالمثل، تعالج CVE-2026-14671 خلط الأنواع في ذاكرة التخزين المؤقت للخطة (plan cache) في وحدة refint، مما يتيح أيضًا تنفيذ الأكواد التعسفية.
تشمل مشكلات الخادم الأساسي الأخرى الملحوظة CVE-2026-14669، وهو فيضان مخزن مؤقت في الكومة في دالة to_char، وCVE-2026-14664، وهو فيضان مخزن مؤقت في الكومة في محرك التعبيرات النمطية (regexp engine). كلاهما يسمح بتنفيذ الأكواد التعسفية. بالإضافة إلى ذلك، تكشف CVE-2026-14663 أن pgcrypto، عند بناؤه دون دعم OpenSSL لبعض الشيفرات، يقوم بالتشفير وفك التشفير بصمت إلى نص واضح ومنه، مما يشكل خطرًا كبيرًا على سلامة البيانات وسريتها للمنظمات التي تعتمد على دوال التشفير المدمجة دون مكتبات خارجية.
CVE-2026-14676: فيضان مخزن مؤقت في الكومة في pg_stat_statements يسمح بتنفيذ الأكواد التعسفية (CVSS 8.8).
CVE-2026-14671: خلط الأنواع في ذاكرة التخزين المؤقت للخطة في refint يسمح بتنفيذ الأكواد التعسفية (CVSS 8.8).
CVE-2026-14663: pgcrypto يستخدم النص واضح بصمت للشيفرات المعطلة في OpenSSL (CVSS 6.5).
CVE-2026-14672: قيم scram_iterations غير الافتراضية توفر أداة استعلام لوجود المستخدم (user existence oracle) (CVSS 5.3).
تشفير البيانات الشفاف وحماية البيانات
للمنظمات التي تتطلب تشفير البيانات المخزنة، تم إصدار pg_vault_tde v1.7.1 في 10 سبتمبر 2026. يوفر هذا الأداة تشفير البيانات الشفاف (Transparent Data Encryption) لـ PostgreSQL 17 و18. يعمل كطريقة وصول إلى الجدول (table access method) باسم encrypted_heap، والتي تشفر كل صف (tuple) باستخدام AES-256-GCM. تضمن هذه الطريقة أن البيانات مشفرة على مستوى التخزين دون الحاجة إلى تغييرات على مستوى التطبيق.
تم إصدار PostgreSQL Anonymizer 3.2 في 9 سبتمبر 2026. يقدم هذا التحديث قدرات أسرع للتعمية (pseudonymization)، مما يسمح لمديري قواعد البيانات بحماية البيانات الحساسة في بيئات غير الإنتاجية بكفاءة أكبر. تعالج هذه الأدوات احتياجات الامتثال والأمان المحددة لمعالجة البيانات في الصناعات الخاضعة للتنظيم.
يدعم pg_vault_tde v1.7.1 إصداري PostgreSQL 17 و18 مع تشفير الصفوف (tuples) باستخدام AES-256-GCM.
يوفر PostgreSQL Anonymizer 3.2 سرعة محسنة لمهام التعمية (pseudonymization).
تدعم هذه الأدوات استراتيجيات حماية البيانات للتشفير أثناء التخزين وإخفاء البيانات (data masking).
الأدوات التشغيلية وتحديثات النظام البيئي
يواصل نظام PostgreSQL البيئي التطور مع أدوات تشغيلية جديدة. تم إصدار pgAssistant 3.8.0 في 16 سبتمبر 2026، ويوسّع نطاقه من التحليل والضبط إلى منصة مستمرة لتحسين PostgreSQL. يشير هذا التحول إلى اتجاه نحو التحسين الآلي المستمر بدلاً من التدقيقات ذات المرة الواحدة.
تم الإعلان عن PostgreSQL Migrator 1.0، أول إصدار مستقر من Dalibo، في 10 سبتمبر 2026. يساعد هذا الأداة المجانية في مهام الترحيل، مما يوفر أساسًا مستقرًا لنقل الأحمال. بالإضافة إلى ذلك، تم إصدار pg_statviz 1.2 في 25 أغسطس 2026، مضيفًا دعمًا لإصدارات PostgreSQL 19 التجريبية وميزات جديدة للمراقبة. كما تم إصدار LibreDB Studio، وهو بيئة تطوير متكاملة (SQL IDE) مملوكة ذاتيًا (self-hosted) مرخصة بموجب MIT لـ PostgreSQL، والتي توفر واجهة مبنية على المتصفح للتطوير والإدارة.
يتطور pgAssistant 3.8.0 ليصبح منصة تحسين مستمرة لـ PostgreSQL.
يوفر PostgreSQL Migrator 1.0 أداة مجانية ومستقرة لمهام الترحيل.
يضيف pg_statviz 1.2 دعمًا لـ PostgreSQL 19 وميزات مراقبة جديدة.
توفر LibreDB Studio بيئة تطوير متكاملة (SQL IDE) مملوكة ذاتيًا ومبنية على المتصفح لـ PostgreSQL.
دعم الإصدارات وخارطة الطريق المستقبلية
حتى أغسطس 2026، يُعد PostgreSQL 18 الإصدار الحالي المدعوم، مع دعم الإصدارات 17، و16، و15، و14 أيضًا. الإصدار 19 في مرحلة تجريبية، حيث تم إصدار النسخة التجريبية الثالثة (Beta 3) في 13 أغسطس 2026. يجب على المنظمات التخطيط لترقية الإصدارات الفرعية إلى أحدثها لضمان تلقي جميع التصحيحات الأمنية. لا يقدم مشروع PostgreSQL مكافآت للخطأ (bug bounties) لكنه يعمل كسلطة ترقيم الثغرات (CVE Numbering Authority)، حيث يخصص أرقام CVE لـ PostgreSQL والمشاريع ذات الصلة مثل pgJDBC، وpsqlODBC، وpgAdmin.
تتوفر إشعارات الأمان عبر قائمة البريد الإلكتروني pgsql-announce. يمكن للمستخدمين الاشتراك لتلقي تنبيهات محددة بوسم 'Security' لتصفية الإعلانات غير المتعلقة بالأمان. يتيح ذلك لمديري قواعد البيانات البقاء على اطلاع بالتحديثات الحرجة دون ضجيج من أخبار المشروع العامة.
الإصدارات المدعومة حتى أغسطس 2026: 18، و17، و16، و15، و14.
تم إصدار PostgreSQL 19 Beta 3 في 13 أغسطس 2026.
مشروع PostgreSQL هو سلطة ترقيم الثغرات (CVE Numbering Authority) للإصدارات الأساسية والمشاريع ذات الصلة.
اشترك في pgsql-announce مع وسم 'Security' للحصول على تنبيهات مستهدفة للثغرات.
تحدث مع Worlber
تخطط لترحيل PostgreSQL، أو نشر PGEE، أو منصة قاعدة بيانات إنتاجية؟ تحدث مع خدمات قواعد بيانات Worlber.
راسل عبر البريد الإلكتروني contactus@worlber.com
استخدم نموذج التواصل الخاص بـ Worlber
المصادر
الخطوة التالية
تحدث مع مهندسي Worlber
أرسل لنا بيئتك وهدفك. سنوضح لك ما يصلح، وما لا يصلح، والخطوة الآمنة التالية.