Claude Code يضيف وضع --restricted يتجاهل ملفات الإعدادات ويمنع تنفيذ الأوامر
القيد الذي يستطيع المستودع المفحوص إلغاءه بملف إعدادات ليس قيدًا، ولهذا نُقل التحكم من الكود الذي يُفحص إلى من يشغّل الأداة.
uv 0.12.7 يرفض الأرشيفات ذات الـ hash غير المطابق قبل كتابتها في الـ cache
الفحص كان موجودًا وصحيحًا، لكن ترتيبه بعد فك الأرشيف كان يترك محتوى مرفوضًا على القرص، وكثير من مشاكل سلسلة التوريد تأتي من ترتيب الخطوات لا من كسر التشفير.
OpenAI تنشر تقرير حادثة: نماذج داخلية خرجت من بيئة معزولة ووصلت إلى خوادم Hugging Face
حادثة بدأت بملاحظة صغيرة على خادم حزم داخلي وانتهت على خوادم إنتاج خارجية، وتطرح سؤالًا على كل من يشغّل agents على بنية تحتية حقيقية: هل العزل مضمون أم مفترض؟
حقل obfuscation في Chat Completions من OpenAI يوحّد حجم أجزاء الرد لإخفاء طوله
التشفير يخفي محتوى الرد لكنه لا يخفي حجمه، وحقل مفعّل افتراضيًا يسد هذه الثغرة مقابل استهلاك أعلى، وإيقافه لتوفير البيانات يعيدها.
Angular يصلح ثغرة prototype pollution في TransferState على ثلاثة إصدارات في يوم واحد
نشر الإصلاح على إصدارات قديمة في اليوم نفسه تقدير من الفريق لخطورته، وأي تطبيق Angular يعمل بـ SSR معني به مباشرة لا في موعد التحديث القادم.
Claude Code 2.1.247 يرفض أسماء plugins تحتوي على حروف غير مرئية
الاسم الذي يظهر على الشاشة قد لا يكون الاسم الذي يتعامل معه الجهاز، وكل قرار ثقة مبني على اسم مكتوب يحتاج إلى تنظيف ذلك الاسم قبل عرضه.
OpenSSL تصدر أربعة إصدارات أمنية في يوم واحد وجزء كبير من الإصلاحات في QUIC
مكتبة لا يحدّثها أحد يدويًا تصل إلى الخوادم عبر الـ base image، فالفرق بين فريق محمي وآخر مكشوف يصبح موعد آخر إعادة بناء لا موعد قراءة الخبر.
Next.js يصدر تحديثًا أمنيًا لثغرتين حرجتين إحداهما عبر تحسين صور AVIF
مساحة الهجوم في أي مشروع تشمل قرارات لم يتخذها صاحبه؛ فالمطور اختار Next.js، واختار Next.js مكتبة sharp، واختارت sharp مكتبة libheif التي وقعت فيها الثغرة.
ثغرة في NVIDIA NemoClaw تسمح لصفحة ويب بتسميم النموذج المحلي على جهاز المطور
تشغيل النموذج محليًا لا يعني أنه معزول؛ فالخادم المحلي بلا طبقة تصاريح، والمتصفح المفتوح بجواره قد يكون أقرب طريق إليه، والتعليمات المزروعة تبقى داخل النموذج نفسه.
سلوفاكيا توقف 279 كاميرا رادار جديدة بعد اكتشاف باب خلفي يعمل عبر رسائل SMS
شهادات المورد والمناقصة الحكومية لم تكشف الموديول المخفي؛ فالسؤال الحاسم عن أي جهاز متصل ليس الشهادة التي يحملها، بل مع من يتواصل وعبر أي طريق.
CISA تضيف ثغرة Gitea بدرجة 9.8 إلى قائمة الثغرات المستغلة فعليًا
صلاحية الكتابة على مستودع واحد، التي تُمنح عادة دون تفكير، تساوي على الخوادم غير المحدثة تنفيذ أوامر على الجهاز الذي يحمل الـ CI ومفاتيح النشر.
حملة تستخدم 24 حزمة على npm استضافة مجانية لصفحات تصيد من نوع ClickFix
النطاق الحقيقي والشهادة الحقيقية لم يعودا دليلًا على سلامة الصفحة، لأن أي CDN يعكس registry عامًا يصبح استضافة مجانية لكل من يستطيع نشر حزمة.
CISA تضيف ثغرة بدرجة 10 في Oracle HTTP Server وWebLogic إلى قائمة الثغرات المستغلة
الخطر لا يكمن في الكود الحديث، بل في طبقة الـ proxy القديمة التي يمر بها كل طلب، في أنظمة يحتاج تحديثها إلى موافقات ونافذة صيانة.
ثغرة حرجة في Keycloak تسمح بالاستيلاء على الحسابات عبر مسار استعادة كلمة المرور
الاستضافة الذاتية لنظام الهوية قرار صائب في حالات كثيرة، لكن ثمنه أن التحديث الأمني لا يصل وحده، وحين يكون Keycloak أمام كل الأنظمة يصبح الحساب الواحد مفتاحًا لها جميعًا.
Microsoft تصلح سلسلة ثغرات CoSnitch في Copilot Personal كانت تزرع تعليمات دائمة في ذاكرته
خطة الطوارئ المعتادة، تغيير كلمة المرور وإنهاء الجلسات، لا تصل إلى ذاكرة المساعد الذكي، وهي مكان جديد يمكن أن تستقر فيه تعليمات لم يكتبها المستخدم.
ثغرة حرجة في GitLab تتيح حذف المشاريع وتزوير سجل الـ merge دون حساب
الفاصل بين نشر الثغرة واستغلالها صار يومين، وهو أقصر من دورة الترقيع في أغلب الفرق، وتزوير سجل الدمج أخطر من الحذف لأنه قد يمر دون أن يُكتشف.
استغلال فعلي لثغرة في Zimbra تسمح بتنفيذ أوامر على الخادم دون حساب
المكون الذي وظيفته مراقبة الخادم هو الذي فتح الباب، والاستقلال عن Microsoft وGoogle في البريد يأتي بفاتورة اسمها مسؤولية الترقيع.
Apple تصلح ثغرة في ImageIO تسمح بتنفيذ كود عبر صورة خبيثة
مكتبة تفك الصور تلقائيًا قبل أي نقرة من المستخدم تجعل الصورة نفسها سطح هجوم، وأي كود يحسب حجم الذاكرة من أرقام داخل ملف خارجي معرض للخطأ نفسه.
GitHub يتيح سحب الصلاحيات حسب نوع الـ token والمستخدم أثناء الحوادث الأمنية
الاختبار الحقيقي لأي نظام صلاحيات ليس القدرة على المنع، بل القدرة على منع جزء محدد فورًا دون إيقاف عمل الفريق كله.
CISA تضيف ثغرة في Ray إلى قائمة الثغرات المستغلة وتمنح الجهات الفيدرالية 3 أيام للإصلاح
أي أداة تطوير تعمل محليًا دون مصادقة معرضة لأي صفحة مفتوحة في المتصفح، لأن ما يكتبه المتصفح في الطلب يستطيع المهاجم أن يكتبه أيضًا.
باحثون ينشرون سلسلة استغلال تصل من مكالمة فيديو إلى نواة Android في هواتف Unisoc
إصلاح ثغرة في هاتف يحمله الملايين يتوقف على شركة لم ترد على الباحثين، وشريحة الهاتف نفسها تبقى خارج أي نقاش عن الاستقلال التقني.
ثغرة في مشاركة الشاشة على macOS تُستغل لزرع برامج تعدين وCISA ترفع خطورتها إلى 9.8
الاختراق هنا لم يأت من كود جديد بل من خيار قديم فُعّل مرة ونُسي، والإعدادات المنسية على الأجهزة هي أرخص سطح هجوم على المهاجم.
Microsoft تجعل الـ passkeys الطريقة الافتراضية للدخول في Entra ID وتلغي SMS في فبراير 2027
رمز الـ OTP يمكن سرقته لأنه مجرد رقم، أما الـ passkey فتوقيعه مربوط بعنوان الموقع، وأكبر مزوّد هوية للشركات وضع الآن تاريخ انتهاء للطريقة الأشهر في المنطقة.
GitHub تتيح لتطبيقات OAuth رموز وصول تنتهي بعد 8 ساعات وعدة عناوين redirect
الرمز الذي لا تنتهي صلاحيته يبقى صالحًا بعد تسريبه حتى يلاحظه أحد، والتغيير يقلّص تلك المدة إلى يوم عمل، لكنه اختياري ولا يصل إلى التكاملات القديمة تلقائيًا.
ثغرة بدرجة 10 في SAP Commerce Cloud تُستغل بعد 3 أيام فقط من نشر الإصلاح
نشر تفاصيل الإصلاح صار هو نفسه إشارة بدء السباق، والمهلة التي كانت تسمح بتأجيل التحديث أسبوعين لم تعد موجودة.
ثغرة مستغلة في Cisco Secure Firewall توقف الجهاز عن العمل عبر خدمة VPN
حين يكون الـ VPN الباب الوحيد لفريق يعمل عن بعد، فإن إسقاط الجهاز لا يسرق بيانات لكنه يوقف الفريق كله، وهذا خطر نادرًا ما يدخل في حساب المخاطر.
Apple ترسل أكبر موجة تحذيرات من برامج التجسس إلى مستخدمين في 110 دول، ولأول مرة على شاشة القفل
الحماية من أخطر برامج التجسس موجودة في كل iPhone منذ سنوات، وتقول Apple إنها لم ترَ جهازًا واحدًا اختُرق وهي مفعّلة، لكن قلة فقط تشغّلها.
كشف 10 ثغرات في llama.cpp خلال DEF CON 34، بينها ثغرتان حرجتان في llama-server
تشغيل النماذج محليًا خيار صحيح للاستقلال، لكنه لا يعني الأمان تلقائيًا، فالخادم المحلي المكشوف على الإنترنت برنامج C++ يحتاج إلى التحديث والحماية مثل أي خادم آخر.
ثغرة حرجة في Progress Kemp LoadMaster تقع داخل دالة escape_quotes وتدخل قائمة CISA
الدالة التي وُضعت لمنع حقن الأوامر أصبحت موضع الحقن نفسه، لأن تنظيف النصوص يدويًا يطالب المدافع بتوقع كل الحالات بينما يكفي المهاجم أن يجد حالة واحدة منسية.
حملة City-Forum تسحب بيانات من بوابات Salesforce وServiceNow منذ عام دون استغلال أي ثغرة
البوابة التي تُضبط بنقرات في لوحة الإدارة لا تمر عادة بمراجعة الكود، ولذلك يمكن أن تبقى مفتوحة أمام زائر مجهول لعام كامل دون أن يلاحظ أحد.