تنبيه أمني من مركز الاستجابة الأمنية كارن آي تي

رقم الإرشاد: KSRC-2026-11141 | تاريخ النشر: 14 نوفمبر 2026

خلط الأنواع في PostgreSQL يؤدي إلى تنفيذ تعليمات برمجية عشوائية
CVE-2026-6460

الملخص

تم اكتشاف ثغرة عالية الخطورة من نوع خلط الأنواع (type confusion) في نواة خادم PostgreSQL. تحمل هذه الثغرة المعرّف CVE-2026-6460 وتسمح لمستخدم قاعدة بيانات لديه صلاحية إنشاء الكائنات بتنفيذ تعليمات برمجية عشوائية بصلاحيات مستخدم نظام التشغيل الذي يعمل به خادم قاعدة البيانات.

تم تقييم الثغرة بدرجة خطورة 8.8 (عالية) وفق معيار CVSS v3.1. الثغرة ليست غير مصادقة؛ يتطلب الاستغلال القدرة على إنشاء أو تعديل كائنات قاعدة البيانات (صلاحية CREATE أو ما يعادلها). صدرت الإصدارات المُصلحة في 12 نوفمبر 2026 لجميع الفروع الرئيسية المدعومة حالياً.

نظرة تقنية

لم يكن PostgreSQL يتتبع بشكل كافٍ النوع المرتبط ببعض القيم الداخلية. لم تكن القيم ذات تعريف ذاتي، ويمكن أن تبقى قيم من نوع قديم في إدخالات قاموس البيانات ومتغيرات PL/pgSQL وأجزاء أخرى من النظام بعد تغييرات المخطط.

المسار الرئيسي للهجوم يستخدم ALTER ... SET DATA TYPE (وتسلسلات DDL ذات صلة مثل ALTER TABLE ... ADD COLUMN مع التراجع وإعادة التنفيذ). من خلال تغيير نوع سمة بعد إعداد بيان أو تخزين قيمة، يمكن للمهاجم إجبار الخادم على تفسير البيانات تحت نوع غير متوافق. يمكن استغلال خلط الأنواع هذا لتحقيق تنفيذ تعليمات برمجية عشوائية في سياق عملية PostgreSQL.

المشكلة التصميمية الأساسية طويلة الأمد (وُصفت في الأبحاث العلنية بأنها تعود إلى حوالي 22 عاماً). أظهرت الأبحاث الحديثة مساراً موثوقاً من خلط الأنواع إلى تنفيذ التعليمات البرمجية.

الأنظمة المتأثرة

• PostgreSQL 18 قبل 18.7
• PostgreSQL 17 قبل 17.12
• PostgreSQL 16 قبل 16.16
• PostgreSQL 15 قبل 15.20
• PostgreSQL 14 قبل 14.25

الإصدارات المُصلحة: 18.7 و17.12 و16.16 و15.20 و14.25 (صدرت في 12 نوفمبر 2026). يُلاحظ أن 14.25 هو الإصدار النهائي لفرع PostgreSQL 14، الذي وصل إلى نهاية الدعم.

حالة الاستغلال

• الإفصاح الرسمي والإصدارات الأمنية في 12 نوفمبر 2026.
• تحليلات فنية ومواد إثبات مفهوم متاحة علناً.
• يتطلب الاستغلال دوراً في قاعدة البيانات يمكنه إنشاء أو تعديل الكائنات؛ ليس هجوماً عن بُعد غير مصادق عليه بالكامل.
• لم يتم تأكيد استغلال واسع النطاق في الطبيعة حتى تاريخ نشر هذا الإرشاد.
• غير مدرج في كتالوج CISA للثغرات المستغلة المعروفة (KEV) في وقت كتابة هذا الإرشاد.

التوصيات

1. الإجراء الفوري: قم بترقية PostgreSQL إلى الإصدار الثانوي المُصلح لفرعك الرئيسي (18.7 أو 17.12 أو 16.16 أو 15.20 أو 14.25).
2. بعد الترقية، أعد تشغيل خدمة PostgreSQL لضمان تحميل الملف الثنائي المُصلح.
3. قم بجرد جميع مثيلات PostgreSQL وحدد الأدوار التي تمتلك صلاحيات CREATE على قواعد البيانات أو المخططات. أعطِ الأولوية للبيئات التي يمكن فيها لمستخدمين أو تطبيقات أقل ثقة إنشاء كائنات (الأنظمة متعددة المستأجرين، الاستضافة المشتركة، قواعد بيانات التطوير ذات الوصول الأوسع).
4. حيثما أمكن، قيّد صلاحيات DDL (خاصة ALTER ... SET DATA TYPE وحقوق تعديل المخطط ذات الصلة) على الأدوار الإدارية الموثوقة فقط.
5. راجع سجلات التطبيقات وقواعد البيانات بحثاً عن نشاط DDL غير معتاد أو سلوك غير متوقع للعمليات حول وبعد 12 نوفمبر 2026.
6. بالنسبة لخدمات PostgreSQL المُدارة (مزودو السحابة، DBaaS)، تأكد من مزود الخدمة أن التحديثات الأمنية قد طُبقت على مثيلاتك.
7. في حال الاشتباه في حدوث اختراق، تعامل مع المضيف على أنه مخترق: اعزله، واحفظ الأدلة الجنائية، ودوّر بيانات الاعتماد والأسرار المتاحة لعملية قاعدة البيانات، وقم بمراجعة شاملة للسلامة.

على الرغم من أن هذه الثغرة ليست غير مصادقة، إلا أن الجمع بين الصلاحيات المطلوبة المنخفضة نسبياً، وتنفيذ التعليمات البرمجية الموثوق، والانتشار الواسع لـ PostgreSQL يجعل الترقية في الوقت المناسب أمراً أساسياً، خاصة في البيئات متعددة المستخدمين أو متعددة المستأجرين.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.