ترقية Uptime Kuma من v1 إلى v2: دليل الأمان

‏CVE-2026-45618 ثغرة حرجة مصنَّفة CVSS 10.0 في ‏LiquidJS، محرك القوالب الذي تستخدمه Uptime Kuma لتنسيق الإشعارات. تتأثر إصدارات ‏LiquidJS الأقدم من 10.26.0: يمكن للمهاجم استغلال مُرشِّح valueOf في قالب — وفي Uptime Kuma هو قالب رسالة الإشعار — لتسلسل التلاعب في النماذج الأولية والوصول إلى مُنشئ Function في JavaScript وتنفيذ أوامر اعتباطية على الخادم. تُثبت نماذج الاستغلال المتاحة للعموم إمكانية قراءة الملفات وتشغيل الأوامر عبر child_process.execSync.

لم يتلقَّ الفرع 1.x أي إصلاح: آخر إصدار له، 1.23.17 (أكتوبر 2025)، يتضمن ‏LiquidJS 10.22.0، وصار المشروع يصنِّف وسمَي Docker 1 وlatest كمُهمَلين. يتطلب تعديل قالب إشعار حساباً: فالمهاجم الذي يحصل على وصول إداري — بسرقة بيانات الاعتماد أو بالقوة الغاشمة — يملك هذا السطح. يضمّ الفرع 2.x الإصدار 10.26.0 من ‏LiquidJS منذ الإصدار 2.4.0 (مايو 2026) ولا يزال يتلقى الإصلاحات: فقد أصلح الإصدار 2.5.8 مثلاً ثغرة تنفيذ كود تتطلب مصادقة عبر Apprise ‏(GHSA-v2p3-6f5h-6hhf) تطال أيضاً الفرع 1.x بأكمله. صدر آخر إصدار، 2.5.9، في أكتوبر 2026. الاستمرار في تشغيل نسخة 1.x يعني إبقاء كل جهاز مراقبة — وعملاؤه — أمام سطح هجوم مفتوح بلا تاريخ إغلاق معروف.

تحقق من النقاط التالية قبل إطلاق عملية الترقية. قد يُعسِّر إهمال إحداها أي تراجع عن العملية.

الموارد الدنيا الموصى بها. لا تحدد وثائق Uptime Kuma حداً أدنى بالأرقام: تكفي نسخة صغيرة خادماً افتراضياً من الفئة الأولى، لكن الذاكرة والقرص يزدادان مع عدد أجهزة المراقبة وطول السجل المحفوظ. تُجمِّع الترقية جدول نبضات المراقبة (heartbeats): يذكر المشرف على المشروع نحو 7 دقائق لـ 20 جهاز مراقبة و90 يوماً من البيانات، وساعات على عتاد بطيء — يُقلِّص VPS مع SSD من نوع NVMe هذه النافذة الزمنية.

‏Docker Compose v2. الأمر المطلوب هو docker compose (إضافة متكاملة)، لا docker-compose (ثنائي مستقل v1). تحقق بـ docker compose version: يُتوقع الإصدار 2 أو أحدث (الفرع الحالي هو v5). إن فشل الأمر، ثبِّت الإضافة عبر مدير حزم توزيعتك قبل المتابعة.

وصول root أو sudo. تتطلب العملية التعامل مع أحجام Docker وملفات النظام؛ يُعدّ الوصول المميّز ضرورياً.

نسخة v1 تعمل بشكل سليم. أكِّد الإصدار الحالي عبر واجهة الويب (الإعدادات ← حول). تفترض عملية الترقية أن النسخة تعمل وقاعدة بياناتها متسقة — إن كانت تالفة، استعد نسخة احتياطية أولاً.

تُحوِّل عملية الترقية من v1 إلى v2 مخطط قاعدة بيانات SQLite بصورة لا رجعة فيها. بدون نسخة احتياطية صالحة، يستحيل التراجع الكامل.

تحديد الحجم أو مجلد البيانات. عند استخدام Docker Compose مع حجم مُسمَّى، يجمع اسمه الكامل بين اسم مشروع Compose واسم الحجم، مثلاً uptime-kuma_uptime-kuma-data. أكِّد ذلك بـ docker volume ls | grep kuma. عند استخدام ربط مباشر (bind mount)، حدِّد المسار في ملف docker-compose.yml — عادةً ./data:/app/data.

إيقاف الحاوية قبل النسخ الاحتياطي. قد تكون قاعدة بيانات SQLite المُنسخة احتياطياً أثناء الكتابة تالفة. لا تستخدم علامة -v عند الإيقاف أبداً: ستؤدي إلى حذف الحجم ومحتوياته.

الترقية الناجحة لا تقتصر على حاوية تعمل. راجع هذه النقاط قبل اعتبار العملية مكتملة.

أجهزة المراقبة. افتح لوحة التحكم وقارن عدد أجهزة المراقبة بقائمتك في v1. قد يُشير الجهاز المفقود إلى ترقية جزئية — راجع السجلات على مستوى ERROR أو WARN.

الإشعارات. شغِّل يدوياً اختبار إشعار لكل قناة مُهيَّأة (البريد الإلكتروني، Telegram، webhook). في v2، تنتقل قوالب البريد الإلكتروني (SMTP) من استبدال بتعبير نمطي إلى LiquidJS: تصبح المتغيرات حساسة لحالة الأحرف ويُتجاهَل أي متغير غير معروف دون خطأ. استغل هذه الفرصة لمراجعة قالب كل إشعار وحذف أي محتوى غير متوقع (وسوم {% %}، مُرشِّح valueOf) — هذا هو متجه CVE-2026-45618.

صفحة الحالة. إن كنت تعرض صفحة حالة عامة، تحقق من استجابتها الصحيحة وعرضها للخدمات الصحيحة. يُحفظ عنوان URL والمعرّف بعد الترقية.

شهادات SSL. تُعيد مجسات TLS دورة التحقق بعد الترقية. قد تُطلق شهادة كانت قريبة من انتهاء الصلاحية قبل الترقية تنبيهاً فورياً: تحقق من التاريخ الفعلي قبل معالجته كحادثة.

حجم غير متوافق أو قاعدة بيانات تالفة. إن أظهرت السجلات SQLITE_ERROR: no such table أو database disk image is malformed، فقاعدة البيانات المُركَّبة غير صالحة أو أُخذت النسخة الاحتياطية أثناء الكتابة. استعد الأرشيف، أوقف الحاوية بشكل سليم، وأعد الإجراء من خطوة النسخ الاحتياطي.

المنفذ 3001 مستخدَم بالفعل. يُشير خطأ port is already allocated أو address already in use على المنفذ 3001 إلى احتلال منفذ من قِبل عملية أخرى. حدِّدها بـ ss -tlnp | grep 3001 وأوقفها، أو عدِّل تعيين المنفذ في docker-compose.yml (مثلاً 127.0.0.1:3002:3001) وحدِّث إعدادات الوكيل العكسي.

رفض قالب الإشعار بعد الترقية. إن أظهرت قناة إشعار خطأ في القالب، فالقالب يحتوي على صياغة يرفضها LiquidJS؛ وفي v1 لم يكن بريد SMTP يستخدم LiquidJS بل استبدالاً بسيطاً بتعبير نمطي. عدِّل القالب المعني في الإعدادات ← الإشعارات واحذف العلامات الخاطئة أو صحِّحها.

شهادة TLS تُعرض منتهية الصلاحية. تُعيد مجسات TLS دورتها بعد الترقية. تحقق من التاريخ الفعلي بـ echo | openssl s_client -connect your-domain.com:443 -servername your-domain.com 2>/dev/null | openssl x509 -noout -dates قبل معالجة هذا التنبيه كحادثة.

حاوية في حلقة إعادة تشغيل. إن فشلت الترقية وكانت السياسة restart: always أو unless-stopped، يُعيد Docker تشغيل الحاوية إلى ما لا نهاية. انتقل إلى restart: "no" (بين علامتي تنصيص في YAML)، صحِّح المشكلة المُحدَّدة في السجلات، ثم استعد السياسة الأصلية.

ترقية Uptime Kuma إلى الإصدار 2.x تُغلق CVE-2026-45618 على سطح متاح مباشرةً من واجهة الإدارة. بالنسبة لوكالة تدير بنية تحتية لعدة عملاء من نسخة مشتركة، يتناسب هذا السطح مع عدد الحسابات وأجهزة المراقبة المُهيَّأة: كل عميل إضافي كان يُوسِّع المحيط المكشوف.

تجلب v2 أيضاً تغييرات هيكلية تُقلِّص سطح الهجوم على المدى البعيد: صور Docker بلا صلاحيات جذر متاحة كخيار (وسوم 2-rootless)، تبعيات مُصانة بنشاط، وتأخير 14 يوماً قبل دمج إصدارات جديدة من تبعيات npm ‏(min-release-age=14 في ملف .npmrc للمشروع) — للحد من هجمات سلسلة التوريد.

مع عرض Agency من ServOrbit.com، تنشئ حسابات cPanel الخاصة بعملائك وتتابعها من مساحة واحدة.