مطوّر في Gentoo: عبء الأمن انتقل من عدد الثغرات إلى عدد التقارير

نشر Michał Górny، المطوّر في توزيعة Gentoo، في 27 أكتوبر 2026 مقالة بعنوان The next circle of security hell. وفكرتها أن المشكلة لم تعد في عدد الثغرات، بل في عدد التقارير عنها. فأي شخص يملك chatbot صار قادرًا على إرسال تقرير ثغرة، والمشاريع تغرق فيها بمعدلات غير مسبوقة.

ويقول الكاتب إن كل برامج مكافآت الثغرات تقريبًا توقفت بسبب التقارير الفارغة، ومع ذلك لم يتوقف الناس عن الإرسال.

والنقطة الأساسية في المقالة أن الحل ليس رمي التقارير. فبعد استبعاد الفارغ الواضح، يبقى عدد كبير يحتاج إلى من ينظر فيه ويحكم: ما مدى أهمية المشكلة، وهل الإصلاح المرسل صحيح أم سيكسر شيئًا آخر، وإن رُفض التقرير فبأي سبب. وهذا عمل يحتاج إلى خبرة ولا يُنجز بسرعة، ويقوم به في الغالب متطوع واحد في وقته الخاص.

ويضرب الكاتب مثلًا بالـ REDoS، وهي حالة يستغرق فيها تعبير نمطي (regex) وقتًا ضخمًا على مدخل مصمم خصيصًا. فهل هي ثغرة؟ يجيب بأن ذلك يتوقف على اتجاه الهجوم، أي على من يرسل المدخل، وهذا بدوره يختلف بحسب طريقة استخدام البرنامج. فإن كان المدخل قادمًا من المستخدم فهي طريق لتعطيل الخدمة، وإن كان من ملف إعدادات يكتبه صاحب النظام فليست ثغرة. الكود نفسه، والإجابة مختلفة.

ويعترف الكاتب بأنه ليس متأكدًا من أن البرمجيات صارت أقل أمانًا، ويرى أن هذا ليس المهم. المهم أن طاقة من يصلحون ثابتة، بينما صار باب الوارد مفتوحًا.

والمقالة رأي وشهادة من داخل مشروع واحد، ولا تتضمن أرقامًا منشورة، فهي تُقرأ كشهادة لا كقياس.