PostgreSQL تصلح 52 ثغرة بينها خلل عمره 22 عاماً يتيح تنفيذ الأوامر على الخادم

أطلقت مجموعة تطوير PostgreSQL تحديثات أمنية تعالج 52 ثغرة. أخطرها CVE-2026-6460، وهي ثغرة «خلط أنواع» (Type Confusion) في الأنواع المركّبة (Composite Types)، تسمح لمستخدم يستطيع إنشاء كائنات في قاعدة البيانات بتشغيل كود بصلاحيات مستخدم النظام الذي يشغّل PostgreSQL.

ويعود أصل الخلل، بحسب الباحث Mehmet Ince الذي نشر شرحاً تقنياً لاستغلاله، إلى ميزة تغيير نوع العمود التي أضيفت عام 2004. ولم يُبلَّغ عن هجمات تستغل الثغرة حتى الآن.

ثغرات أخرى في التحديث

• CVE-2026-116322: تسمح لعميل غير مصادق بإعادة تشغيل خوادم PostgreSQL 18.
• ثغرات في أدوات العميل: أرشيف مُعدّ قد يجعل pg_restore ينفذ كوداً، وخادم مصدر مخترق قد يجعل psql ينفذ كوداً عبر سكربت استعادة pg_dump.

خطوات التحديث

1. حدّث إلى 18.7 أو 17.12 أو 16.16 أو 15.20 أو 14.25 حسب إصدارك الرئيسي.
2. أعد بناء أو حدّث كل إضافة مكتوبة بلغة C في الوقت نفسه.
3. حدّث أدوات العميل مثل pg_dump وpg_restore على كل الأجهزة التي تستخدمها.
4. اتبع خطوات إعادة الفهرسة في إعلان الإصدار، وخذ نسخة احتياطية كاملة جديدة إذا كنت تستخدم النسخ التزايدية.

انتبه أيضاً إلى أن الإصدار 14 وصل إلى نهاية دعمه، و14.25 هو آخر تحديث له.