بعد سبعة أشهر من فحص Anthropic للمشاريع المفتوحة: 37,966 اكتشافًا مقابل 217 إصلاحًا مسجلًا
المغزى: الأداة تجد مشكلات حقيقية، لكن فرز البلاغات الذي حُذف من جهة المرسل انتقل إلى مشرفين متطوعين، وسرعة الاكتشاف صارت تفوق بكثير سرعة الإصلاح.
تقرير Acronis: مشغل واحد استخدم 12 agent ذكاء اصطناعي ضد مؤسسات في 11 دولة، والثغرات كانت قديمة
المغزى: الـ agents لم تفتح بابًا كان مغلقًا، لكنها أنهت الحماية التي كانت توفرها قلة الوقت، فالثغرة المؤجلة لم تعد بعيدة عن أعين أحد.
ثغرة GhostMap: تطبيق Android بلا كود ولا صلاحيات يمكن أن يدخل الهاتف في boot loop
المغزى: حين لا يكون الإصلاح قادمًا في تحديث أمني، تنتقل الحماية من الهاتف إلى مصدر الملف نفسه، وتثبيت APK من رابط خارج المتجر يصبح قرارًا قد يعطل الجهاز بالكامل.
باحث أمني يشغّل كودًا على نظارة Meta Ray-Ban عبر حزمة غير موقّعة ثم عبر بايت واحد في ملف إعدادات
المغزى: فحص الأمان كان موجودًا، لكن مفتاح تشغيله كان في ملف يرسله جهاز آخر، وهو نمط يتكرر في كل client يبني قرارًا أمنيًا على إعدادات تصله من الخارج.
Alpine Linux: تجاوز لكلمة المرور في sshd لأن دالة crypt في musl ترجع نجمة عند الخطأ
المغزى: ثلاثة تغييرات سليمة في ثلاثة مشاريع بين 2012 و2022 صنعت معًا ثغرة لم يقصدها أحد، فأمان الخادم يعتمد على تلاقي طبقاته لا على كل طبقة وحدها.
ثغرة حرجة في أداة apt تتيح تجاوز التحقق من الحزم عبر الـ redirect وإعادة المحاولة
المغزى: الثغرة لا تخص الخوادم وحدها، بل كل image تُبنى فوق Debian أو Ubuntu، لأن سطر apt-get update ثم apt-get install موجود في أغلب ملفات Dockerfile.
ثغرة حرجة في استقبال اتصالات TCP بنواة Linux، وUbuntu وRed Hat دون إصلاح حتى 31 أكتوبر
المغزى: الإصلاح في النواة الأصلية لا يعني أن الخوادم محمية، فالحماية تصل حين تنشرها التوزيعة، وتحديث صورة الـ container لا يغيّر النواة التي يعمل عليها.
ثغرة حرجة في مكالمات Signal أُصلحت، ونسخة Molly المعدّلة آخر إصدار لها في 31 يوليو
المغزى: النسخة المعدّلة ترث من الأصل كل شيء بما فيه الأخطاء، لكن الإصلاح لا يصلها إلا إذا سحبه أحد وبناه، فتاريخ آخر إصدار صار سؤالًا لا يقل أهمية عن مزاياها.
ثغرة في ChatGPT سمحت بالاستيلاء على الحساب عبر رابط مشاركة، وسببها مكتبة MathLive
المغزى: عزل الكود داخل sandbox يحمي ما في داخله فقط، أما الصفحة الأصلية فتبقى مكشوفة لأي مكتبة فيها تستقبل الرسائل دون أن تسأل من أرسلها.
Colin Percival يروي كيف اكتشف ثغرة Hyper-Threading في معالجات Intel وقضى 6 أشهر في إبلاغ فرق الأمان
المغزى: واجب من يملك معرفة تحمي الناس لا يقف عند الإجابة حين يُسأل، بل يشمل البحث عمّن يحتاج أن يعرف، وتحمّل كلفة ذلك ليس متاحًا للجميع بالقدر نفسه.
Mozilla: إصلاحات Firefox الأمنية تضاعفت أكثر من 7 مرات، وتأخير نشر الاختبارات لحماية فترة الـ patch gap
المغزى: الإصلاح المنشور في مستودع عام صار وصفًا جاهزًا للثغرة يقرؤه موديل رخيص، فالمدة بين نشر الإصلاح ووصوله إلى المستخدمين أصبحت هي نقطة الضعف.
رسالة SMS واحدة تُسقط اتصال هواتف Android بالشبكة، بما فيها مكالمات الطوارئ، بسبب تحويل رقم دون فحص
المغزى: سطر واحد من الفحص الغائب كان يكفي لقطع هاتف عن مكالمات الطوارئ، والفاصل بين المستخدم والثغرة الآن هو تحديث أكتوبر، الذي يصل متأخرًا إلى كثير من الهواتف المنتشرة في المنطقة.
Alpine Linux: خادم GitLab بقي مكشوفًا بعد ترقيتين لأن إصلاح الثغرة كان في Ruby
المغزى: رقم الإصدار يغطّي الكود الذي يوزّعه المشروع نفسه، أما المكتبات المحزومة تحته فلها جدول تحديث مستقل، فعبارة «نعمل على آخر إصدار» لم تعد جوابًا كاملًا عن الأمان.
Orange Tsai يحصل على 175,000 دولار عن سلسلة ثغرات منطقية في Edge تصل إلى تنفيذ كود على Windows
المغزى: لا لغة آمنة للذاكرة ولا fuzzer كان سيمنع هذه السلسلة، لأنها أخطاء تصميم من النوع الذي يتكرر في أي تطبيق ويب: فحص على الكائن الخطأ، وقائمة ناقصة، وإعداد خاطئ، ومسار غير منقّى.
باحث في PortSwigger يخترق 6 من 8 مكتبات لتنقية ملفات SVG بثغرات أبسطها حالة الأحرف
المغزى: مكتبة التنقية والمتصفح قد يقرآن الملف نفسه فيريان شيئين مختلفين، وهذا الفرق وحده كافٍ لتمرير سكربت عبر صورة رفعها مستخدم.
Ghostty 1.4.0 يصلح ثغرة في حماية اللصق كانت تتجاهل الـ carriage return
المغزى: النص الظاهر على الشاشة ليس بالضرورة النص الموجود في الحافظة، وتحذير الطرفية قبل اللصق لا يحمي إلا بقدر ما يعرف من أشكال نهاية السطر التي يفهمها الـ shell.
ثغرة في أقفال SwitchBot الذكية سمحت بتحويل أمر القفل إلى أمر فتح عبر قلب bits في رسالة مشفّرة
المغزى: التشفير كان يعمل كما يجب، والناقص أن المستقبِل لا يكشف تعديل الرسالة، وأي token أو cookie يُشفَّر دون كشف التلاعب يمنح تشفيرًا لا حماية.
دالة wordexp في POSIX تنفّذ أوامر من النص الداخل، وحمايتها WRDE_NOCMD ضعيفة في musl وmacOS
المغزى: الخطر هنا ليس ثغرة تُصلَح ثم تُنسى، بل سلوك موثّق في دالة قياسية، والسلوك الموثّق يبقى في كل كود يستدعيها على مدخلات غير موثوقة.
تحليل لاستغلال php2shell: المواقع الصغيرة والأدوات الداخلية أكثر عرضة من المواقع المزدحمة
المغزى: الخدمة الداخلية الصغيرة التي يُؤجَّل تحديثها عادة هي التي تتقدم قائمة الخطر في هذه الثغرة، والتحديث يبقى الإجراء الأهم، لكن ترتيب الأولويات تغيّر.
سام ألتمان أمام طلاب ستانفورد: لم أعد أعتقد أننا سنتمكن من إصلاح كل الثغرات
المغزى: حين يصبح اكتشاف الثغرات أرخص من إصلاحها، يتراكم الخطر مهما تسارع الإصلاح، والحل المعروض للدفاع اشتراك جديد لدى الشركات نفسها التي تبيع النماذج.
تقارير ثغرات في نواة Linux من Zero Day Initiative تصل إلى القائمة البريدية العامة بدل القائمة الأمنية
المغزى: القائمة الأمنية المغلقة ليست إجراءً شكليًا، بل هي ما يضمن جاهزية الإصلاح قبل كشف التفاصيل، وحين ينقلب الترتيب تصبح التفاصيل متاحة والأنظمة ما زالت مكشوفة.
تحديثات Node.js الأمنية تصلح 10 ثغرات، منها تكرار قيم randomUUID في الـ snapshots
المغزى: الخطأ لم يكن في الدالة ولا في الكود، بل في صورة محفوظة حملت معها حالة كان يجب ألا تُحفظ، وهذا النوع من الأخطاء لا يُكتشف بقراءة الكود ويتكرر في أي نظام يعتمد على الـ caching.
GitLab تصلح 13 ثغرة بينها CVE-2026-110264 بدرجة 10.0 تتيح تنفيذ كود دون مصادقة
المغزى: الخادم الذي يحمل كود الفريق ومفاتيح الـ CI مكشوف لمهاجم لا يحتاج حسابًا، وتوقف الخدمة أثناء التحديث يحوّل القرار من التحديث نفسه إلى توقيته.
curl وFirefox يغيّران سياسة الثغرات في اليوم نفسه بسبب الذكاء الاصطناعي وفي اتجاهين متعاكسين
المغزى: النماذج نفسها تُغرق المشرفين ببلاغات كثيرة وتقرأ الإصلاحات بسرعة، فصارت المسافة بين نشر الإصلاح وفهم الثغرة أقصر، ولم يتفق مشروعان كبيران على طريقة واحدة للتعامل معها.
إصلاح ثغرتي PHP يصدر بعد تأخر منذ 2024، والذكاء الاصطناعي خفّض كلفة استغلالهما
المغزى: عبارة «صعبة الاستغلال» لم تعد حماية كافية، فحين تصبح الموديلات قادرة على تكييف الهجوم على تطبيقات عدة في ساعات، يصبح التأخير في الإصلاح هو الثغرة الحقيقية.
فريق أمان PHP يحدد موعد إصدار يصلح ثغرتين بدرجة 9.2 دون الكشف عن أي تفاصيل
المغزى: كل خادم PHP لا يعرف بعد إن كان متأثرًا، وما يُقاس في يوم كهذا ليس خطورة الثغرة بل سرعة الفريق الذي يملك قرار التحديث، وعلى الاستضافة المشتركة لا يملكه صاحب الموقع أصلًا.
Anthropic تشغّل Claude على 25 مشروعًا مفتوح المصدر لرسم سطح الهجوم فيجد 493 مشكلة
المغزى: تقليل الخطر لا يتطلب دائمًا العثور على الثغرة، فمعرفة ما يُنفَّذ قبل التحقق من الهوية وأي الإعدادات تتعارض بصمت تخفض قيمة الثغرات قبل أن تُكتشف.
لغة Go تتوقف عن الثقة في مجموعة من الشهادات الوسيطة، والاتصالات التي تمر بها ستفشل
المغزى: الخطر لا يقع على شهادة موقعك، بل على شهادات الخدمات التي يستدعيها الـ backend، فقرار اتُّخذ عند جهة إصدار بعيدة قد يوقف كودًا لم يتغير فيه سطر.
شركة XBOW تبني سلسلة استغلال كاملة لـ Chrome في ستة أيام بكلفة 40 ألف دولار باستخدام موديل من OpenAI
المغزى: كلفة العثور على ثغرة خطيرة في أكبر متصفح في العالم صارت ستة أيام وفاتورة API، وصعوبة التدقيق التي كانت تحمي المنتجات الصغيرة لم تعد حماية.
ثغرة CVE-2026-97229 بدرجة 10 في GitLab تتيح تنفيذ كود دون تسجيل دخول عبر ملف CI/CD
المغزى: ملف الـ CI كود تقرؤه محلّلات قد تحمل ثغرات، والخطر الفعلي يحدده إعداد بسيط هو السماح لأي شخص بإنشاء حساب ومشروع على الخادم.