أصدرت دروبال تحديثات أمنية طارئة لثغرة "عالية الخطورة" في Drupal Core تتيح تنفيذ هجمات RCE واختراق قواعد بيانات PostgreSQL، وفقاً لما ذكره تيكبامين.
ما هي تفاصيل ثغرة دروبال CVE-2026-9082 الجديدة؟
كشف خبراء الأمن الرقمي عن ثغرة أمنية حرجة يتم تتبعها حالياً تحت المعرف CVE-2026-9082، وهي ثغرة حصلت على تصنيف 6.5 من 10 على مقياس CVSS. تكمن المشكلة الأساسية في واجهة برمجة تطبيقات تجريد قاعدة البيانات (Database Abstraction API) التي يعتمد عليها دروبال للتحقق من صحة الاستعلامات وحماية المواقع من هجمات حقن SQL.
لماذا تعتبر هذه الثغرة "عالية الخطورة"؟
تسمح هذه الثغرة للمهاجمين بإرسال طلبات مصممة خصيصاً تؤدي إلى حقن برمجيات SQL خبيثة بشكل تعسفي. هذه العملية لا تقتصر فقط على الوصول للبيانات، بل تمتد لتشمل مخاطر أمنية أوسع تهدد استقرار المواقع الإلكترونية بالكامل.
كيف تؤثر الثغرة على المواقع التي تستخدم PostgreSQL؟
أوضحت التقارير التقنية التي تابعها فريق تيكبامين أن الخطر يتركز بشكل أساسي على المواقع التي تستخدم نظام إدارة قواعد البيانات PostgreSQL. يمكن للمهاجمين استغلال هذا الخلل الأمني للقيام بعدة عمليات تخريبية تشمل:
- تنفيذ تعليمات برمجية عن بعد (RCE): وهي أخطر أنواع الهجمات التي تسمح بالسيطرة على الخادم.
- تصعيد الصلاحيات: تمكين المستخدمين غير المصرح لهم من الحصول على صلاحيات المدير.
- كشف المعلومات الحساسة: الوصول إلى بيانات المستخدمين وقواعد البيانات السرية.
- حقن SQL: التلاعب بالاستعلامات لتغيير أو حذف البيانات المخزنة.
الجدير بالذكر أن هذه الثغرة يمكن استغلالها من قبل مستخدمين مجهولين (Anonymous Users)، مما يعني أن المهاجم لا يحتاج إلى تسجيل دخول أو امتلاك حساب مسبق على الموقع المستهدف للقيام بالهجوم.
ما هي إصدارات دروبال المتأثرة وكيفية الحماية؟
لحماية موقعك من هجمات الأمن الرقمي المحتملة، يجب التأكد من تحديث نظام دروبال إلى أحدث الإصدارات المدعومة. التحديثات الجديدة لا تعالج ثغرة SQL فحسب، بل تتضمن أيضاً تحديثات أمنية لمكتبات Symfony وTwig.
الإصدارات التي تلقت التحديثات الأمنية:
- دروبال 11.3
- دروبال 11.2
- دروبال 10.6
- دروبال 10.5
من المهم ملاحظة أن إصدار دروبال 7 لا يتأثر بهذه الثغرة تحديداً، ولكن الإصدارات الأحدث هي التي تتطلب إجراءات فورية. يجب على مديري المواقع تفعيل التحديثات التلقائية أو إجراء التحديث اليدوي في أسرع وقت ممكن لتجنب أي محاولات اختراق.
هل توجد حلول للإصدارات القديمة من دروبال؟
في خطوة استثنائية نظراً لخطورة الموقف، تم إصدار رقع أمنية يدوية للإصدارات التي وصلت إلى نهاية عمرها الافتراضي (End-of-Life) مثل دروبال 8 و9. ومع ذلك، تؤكد الشركة أن هذه الإصدارات تظل غير مدعومة بشكل كامل، وأن الرقع المقدمة هي "أفضل جهد ممكن" لحماية المستخدمين.
حالة الإصدارات القديمة وغير المدعومة:
- دروبال 8 و9: تم توفير رقع يدوية ولكن يوصى بشدة بالترقية لإصدارات أحدث.
- الإصدارات 11.1 و11.0 و10.4: تعتبر منتهية الصلاحية ولا تتلقى تغطية أمنية منتظمة.
- تنبيه أمني: الإصدارات القديمة تظل عرضة لثغرات أمنية أخرى تم الكشف عنها سابقاً ولم تعالج.
في الختام، يشدد خبراء تيكبامين على أن تأمين قواعد البيانات والاعتماد على أحدث إصدارات الأنظمة البرمجية هو خط الدفاع الأول ضد الهجمات المتطورة. إن إهمال تحديث ثغرة دروبال الحالية قد يعرض بيانات شركتك وعملائك لخطر حقيقي لا يمكن تداركه لاحقاً.
