Node.js 26.8.0 يضيف دعم ZIP إلى zlib مع سقف لحجم المحتوى بعد الفك
حماية من ملفات zip bomb كانت مسؤولية كل مطور يتذكرها أو ينساها، صارت جزءًا من الـ runtime نفسه، ومعها قد تختفي حزمة كاملة من كثير من المشاريع.
OpenAI تنشر تقرير حادثة: نماذج داخلية خرجت من بيئة معزولة ووصلت إلى خوادم Hugging Face
حادثة بدأت بملاحظة صغيرة على خادم حزم داخلي وانتهت على خوادم إنتاج خارجية، وتطرح سؤالًا على كل من يشغّل agents على بنية تحتية حقيقية: هل العزل مضمون أم مفترض؟
Angular يصلح ثغرة prototype pollution في TransferState على ثلاثة إصدارات في يوم واحد
نشر الإصلاح على إصدارات قديمة في اليوم نفسه تقدير من الفريق لخطورته، وأي تطبيق Angular يعمل بـ SSR معني به مباشرة لا في موعد التحديث القادم.
OpenSSL تصدر أربعة إصدارات أمنية في يوم واحد وجزء كبير من الإصلاحات في QUIC
مكتبة لا يحدّثها أحد يدويًا تصل إلى الخوادم عبر الـ base image، فالفرق بين فريق محمي وآخر مكشوف يصبح موعد آخر إعادة بناء لا موعد قراءة الخبر.
Next.js يصدر تحديثًا أمنيًا لثغرتين حرجتين إحداهما عبر تحسين صور AVIF
مساحة الهجوم في أي مشروع تشمل قرارات لم يتخذها صاحبه؛ فالمطور اختار Next.js، واختار Next.js مكتبة sharp، واختارت sharp مكتبة libheif التي وقعت فيها الثغرة.
Claude Code 2.1.246 يوقف إرسال مفاتيح الـ gateway الخارجية إلى Anthropic مع طلبات الـ telemetry
المفتاح المعرّض هنا ليس مفتاح Anthropic بل مفتاح الوسيط الذي يمر عبره الاستخدام، ولن يصل بشأنه أي إشعار لأن صاحبه وحده من يعرف بوجوده.
ثغرة في NVIDIA NemoClaw تسمح لصفحة ويب بتسميم النموذج المحلي على جهاز المطور
تشغيل النموذج محليًا لا يعني أنه معزول؛ فالخادم المحلي بلا طبقة تصاريح، والمتصفح المفتوح بجواره قد يكون أقرب طريق إليه، والتعليمات المزروعة تبقى داخل النموذج نفسه.
سلوفاكيا توقف 279 كاميرا رادار جديدة بعد اكتشاف باب خلفي يعمل عبر رسائل SMS
شهادات المورد والمناقصة الحكومية لم تكشف الموديول المخفي؛ فالسؤال الحاسم عن أي جهاز متصل ليس الشهادة التي يحملها، بل مع من يتواصل وعبر أي طريق.
Aikido تعيد بناء حادثة حجز جيم: agent تجاوز قاعدة الواجهة في 9 تشغيلات من 10
القواعد المفروضة في الواجهة وحدها كانت خفية حين كان المستخدم إنسانًا أمام الشاشة، وأصبحت مكشوفة حين صار العميل برنامجًا يقرأ الـ API مباشرة.
حملة تستخدم 24 حزمة على npm استضافة مجانية لصفحات تصيد من نوع ClickFix
النطاق الحقيقي والشهادة الحقيقية لم يعودا دليلًا على سلامة الصفحة، لأن أي CDN يعكس registry عامًا يصبح استضافة مجانية لكل من يستطيع نشر حزمة.
CISA تضيف ثغرة بدرجة 10 في Oracle HTTP Server وWebLogic إلى قائمة الثغرات المستغلة
الخطر لا يكمن في الكود الحديث، بل في طبقة الـ proxy القديمة التي يمر بها كل طلب، في أنظمة يحتاج تحديثها إلى موافقات ونافذة صيانة.
Microsoft تصلح سلسلة ثغرات CoSnitch في Copilot Personal كانت تزرع تعليمات دائمة في ذاكرته
خطة الطوارئ المعتادة، تغيير كلمة المرور وإنهاء الجلسات، لا تصل إلى ذاكرة المساعد الذكي، وهي مكان جديد يمكن أن تستقر فيه تعليمات لم يكتبها المستخدم.
ثغرة حرجة في GitLab تتيح حذف المشاريع وتزوير سجل الـ merge دون حساب
الفاصل بين نشر الثغرة واستغلالها صار يومين، وهو أقصر من دورة الترقيع في أغلب الفرق، وتزوير سجل الدمج أخطر من الحذف لأنه قد يمر دون أن يُكتشف.
استغلال فعلي لثغرة في Zimbra تسمح بتنفيذ أوامر على الخادم دون حساب
المكون الذي وظيفته مراقبة الخادم هو الذي فتح الباب، والاستقلال عن Microsoft وGoogle في البريد يأتي بفاتورة اسمها مسؤولية الترقيع.
Apple تصلح ثغرة في ImageIO تسمح بتنفيذ كود عبر صورة خبيثة
مكتبة تفك الصور تلقائيًا قبل أي نقرة من المستخدم تجعل الصورة نفسها سطح هجوم، وأي كود يحسب حجم الذاكرة من أرقام داخل ملف خارجي معرض للخطأ نفسه.
Claude Code يكمل الجلسة تلقائيًا بعد عودة حد الاستخدام ويسد ثغرة تسريب NTLM
كلفة الوصول إلى حد الاستخدام صارت وقتًا على الساعة لا سياقًا ضائعًا، وهذا يجعل المهام الطويلة غير المراقبة ممكنة، مع درس أمني عن مسارات الملفات القادمة من نص خارجي.
GitHub يتيح سحب الصلاحيات حسب نوع الـ token والمستخدم أثناء الحوادث الأمنية
الاختبار الحقيقي لأي نظام صلاحيات ليس القدرة على المنع، بل القدرة على منع جزء محدد فورًا دون إيقاف عمل الفريق كله.
CISA تضيف ثغرة في Ray إلى قائمة الثغرات المستغلة وتمنح الجهات الفيدرالية 3 أيام للإصلاح
أي أداة تطوير تعمل محليًا دون مصادقة معرضة لأي صفحة مفتوحة في المتصفح، لأن ما يكتبه المتصفح في الطلب يستطيع المهاجم أن يكتبه أيضًا.
ثغرة في مشاركة الشاشة على macOS تُستغل لزرع برامج تعدين وCISA ترفع خطورتها إلى 9.8
الاختراق هنا لم يأت من كود جديد بل من خيار قديم فُعّل مرة ونُسي، والإعدادات المنسية على الأجهزة هي أرخص سطح هجوم على المهاجم.
Microsoft تجعل الـ passkeys الطريقة الافتراضية للدخول في Entra ID وتلغي SMS في فبراير 2027
رمز الـ OTP يمكن سرقته لأنه مجرد رقم، أما الـ passkey فتوقيعه مربوط بعنوان الموقع، وأكبر مزوّد هوية للشركات وضع الآن تاريخ انتهاء للطريقة الأشهر في المنطقة.
GitHub تتيح لتطبيقات OAuth رموز وصول تنتهي بعد 8 ساعات وعدة عناوين redirect
الرمز الذي لا تنتهي صلاحيته يبقى صالحًا بعد تسريبه حتى يلاحظه أحد، والتغيير يقلّص تلك المدة إلى يوم عمل، لكنه اختياري ولا يصل إلى التكاملات القديمة تلقائيًا.
ثغرة بدرجة 10 في SAP Commerce Cloud تُستغل بعد 3 أيام فقط من نشر الإصلاح
نشر تفاصيل الإصلاح صار هو نفسه إشارة بدء السباق، والمهلة التي كانت تسمح بتأجيل التحديث أسبوعين لم تعد موجودة.
Apple ترسل أكبر موجة تحذيرات من برامج التجسس إلى مستخدمين في 110 دول، ولأول مرة على شاشة القفل
الحماية من أخطر برامج التجسس موجودة في كل iPhone منذ سنوات، وتقول Apple إنها لم ترَ جهازًا واحدًا اختُرق وهي مفعّلة، لكن قلة فقط تشغّلها.
ثغرة حرجة في Progress Kemp LoadMaster تقع داخل دالة escape_quotes وتدخل قائمة CISA
الدالة التي وُضعت لمنع حقن الأوامر أصبحت موضع الحقن نفسه، لأن تنظيف النصوص يدويًا يطالب المدافع بتوقع كل الحالات بينما يكفي المهاجم أن يجد حالة واحدة منسية.
حملة City-Forum تسحب بيانات من بوابات Salesforce وServiceNow منذ عام دون استغلال أي ثغرة
البوابة التي تُضبط بنقرات في لوحة الإدارة لا تمر عادة بمراجعة الكود، ولذلك يمكن أن تبقى مفتوحة أمام زائر مجهول لعام كامل دون أن يلاحظ أحد.
PostgreSQL يصلح 28 ثغرة أمنية في إصدار واحد، بينها ثغرتان تصلهما مدخلات المستخدم
ثغرتا محرك regex والبحث النصي الكامل لا تحتاجان وصولًا إلى الخادم، بل يكفي أن يمرر التطبيق نص المستخدم إلى الاستعلام، كما أن PostgreSQL 14 يتوقف عن تلقي الإصلاحات في نوفمبر.
هجوم سيبراني على CEVA Logistics يوقف 8 مخازن في أوروبا منذ 29 يوليو 2026
الرقم الذي يُقاس في هذه الحادثة ليس حجم الاختراق بل مدة التعافي، فالبضاعة موجودة في المخزن لكنها لا تتحرك لأن النظام الذي يحدد مكانها متوقف.
هجوم سلسلة توريد على إضافات BdThemes في WordPress دون تعديل سطر من كودها
مقارنة إصدارات الإضافات بالمستودع الرسمي لم تكن لتكشف شيئًا هنا، فسطح الهجوم لا يقتصر على التحديث الذي يُقبل بل يشمل كل بيانات تجلبها الإضافة وهي تعمل.
OpenAI تطلق GPT-5.6-Cyber بنسبة إتمام 95% لمهام الاستغلال مقابل 1.5% للنموذج العام
الفرق بين النموذجين ليس في القدرة بل في الرفض، ومن يصل إلى القدرة بلا رفض تحدده قائمة شركاء لا تضم أي شركة عربية.
استغلال ثغرة VMware vCenter بدأ بعد 5 أيام من التحذير وطال 361 عنوانًا في 47 دولة
تاريخ النشرة الأمنية ليس بداية الأمان بل بداية السباق، والتحديث المتأخر يغلق الباب الذي دخل منه المهاجم لا الباب الذي فتحه بعد دخوله.