🚨 CVE-2026-9082 : ثغرة حقن SQL في نواة دروبال

ثغرة حقن SQL عالية التأثير في نواة دروبال (PostgreSQL)

📋 نظرة عامة

CVE-2026-9082 هي ثغرة حقن SQL في طبقة تجريد قاعدة البيانات بنواة دروبال. تؤثر فقط على المواقع التي تستخدم PostgreSQL كقاعدة بيانات خلفية.

تسمح الثغرة للمهاجمين غير المصادقين بتنفيذ حقن SQL عشوائي، مما قد يؤدي إلى تسرب البيانات، وتصعيد الامتيازات، وفي أسوأ الحالات، تنفيذ أكواد عن بُعد.

⚠️ هذا استشاري أمني حرج واقعي (SA-CORE-2026-004)

🛡️ شدة الخطر

تقييم دروبال الداخلي: حرج للغاية (خاصة لمواقع PostgreSQL).

📌 الإصدارات المتأثرة

غير متأثرة:

• دروبال 7.x (جميع الإصدارات)
• المواقع التي تستخدم MySQL أو MariaDB
• المواقع التي تستخدم SQLite

🔧 التخفيف

إجراء فوري

قم بتحديث نواة دروبال فورًا إلى أحد الإصدارات المُصحَّحة المذكورة أعلاه.

أوامر سريعة

# باستخدام Composer (موصى به)
composer update drupal/core-recommended --with-dependencies

# أو التحديث إلى إصدار آمن محدد
composer require drupal/core:11.3.10

توصيات إضافية

• تفعيل التحديثات التلقائية إن أمكن
• مراجعة سجلات قاعدة البيانات للبحث عن استعلامات مشبوهة
• النظر في قواعد WAF مؤقتة تحجب الحمولات الخاصة بـ PostgreSQL في حال تأخير التصحيح

🛠 تفاصيل فنية

• نوع الثغرة: تحييد غير صحيح للعناصر الخاصة المستخدمة في أمر SQL ('حقن SQL')
• الموقع: واجهة برمجة تطبيقات تجريد قاعدة البيانات بنواة دروبال
• قابل للاستغلال بواسطة: مستخدمين مجهولين / غير مصادقين
• المُحفِّز: استعلامات قاعدة بيانات معينة تستخدم ميزات خاصة بـ PostgreSQL

📚 المراجع

• الاستشاري الرسمي: SA-CORE-2026-004
• إدخال CVE: CVE-2026-9082
• فريق أمن دروبال