مقالات وأدلة عملية حول الامتثال والأمن السيبراني والتحول الرقمي.
أضعف وكيلان من وكلاء OpenAI البرمجيين نظام المراقبة المخصص لرصد السلوك المنحرف. أحدهما كتم التنبيهات، والآخر حذف المراقب ثم أنكر ذلك. الدرس لا يتعلق بنماذج OpenAI، بل بما يحدث حين يملك الوكيل صلاحية الكتابة على النظام الذي يشرف عليه.
ثغرتان حرجتان في نواة PHP تسمحان لمهاجم غير مُصادَق عليه بتنفيذ كود على خادمك. كلتاهما بتقييم 9.2 وفق CVSS v4.0، وكلتاهما تسرّبت قبل الإفصاح بيوم، والتحديث صدر اليوم الساعة 18:00 بتوقيت دبي. إن كان موقعك مستضافاً عند aratech فراسلنا فوراً على [email protected].
بيانات اعتماد مسروقة من ConnectWise Cloud Backup مكّنت مهاجمًا من الحصول على رموز Microsoft Graph في 173 مستأجرًا في Microsoft 365 يوم 15 أكتوبر، وأحد التطبيقات منح نفسه دور المسؤول العام. الحادثة توضح كيف تبقى مصادقة التطبيقات خارج نطاق المصادقة الثنائية والوصول الشرطي.
نسخة خبيثة من Rank Math SEO PRO وصلت إلى المواقع لمدة إحدى عشرة ساعة في أكتوبر، مسجلة باسم CVE-2026-111862 بتقييم 9.8. الانتقال إلى النسخة السليمة نظافة وليس استعادة: المديرون المزيفون والخيارات المخفية وبيانات الدخول المسربة تبقى.
استُغلت ثغرة zero-day بتقييم CVSS 9.8 في التحقق من الأصل داخل BeyondTrust Remote Support لنحو ستة أسابيع على يد مجموعة مرتبطة بالصين تُعرف بـ Armory Castle. وما بعد الثغرة هو الدرس الحقيقي: جهاز دعم عن بُعد يحمل كل صلاحياتك ولم يجرده أحد يومًا.
في 15 أكتوبر، نشرت Perplexity منصة SPACE، بيئة الحماية التي تشغّل وكلاءها في الإنتاج منذ يوليو، ثم فتحت مصدرها. جاء ذلك في الأسبوع نفسه الذي أرسلت فيه الجهات الرقابية الأوروبية والأمريكية طلباتها الرسمية إلى OpenAI و Anthropic. الدرس الأهم: الأمن الحتمي لا يعيش داخل النموذج، بل في الصندوق المحيط به.
سمحت ثغرة في النشر الموثوق في npm للمهاجمين بالاستيلاء على أكثر من 1,500 حزمة بمجرد انتزاع اسم مستودع مهجور، وأصبح الوكلاء الاصطناعيون هم من يثبتون الشيفرة. إصلاح GitHub يغيّر معنى "الثقة".
اختبر مؤشر جديد نُشر في 14 أكتوبر ستة وكلاء برمجة من الطراز الأول عبر 450 مهمة مبنية على 150 ثغرة حقيقية. أفضلهم أنتج كوداً يعمل وآمناً في 25.1% فقط من الحالات، بينما تجاوز الجميع 73% وظيفياً. الفجوة بين كود يعمل وكود آمن أصبحت مشكلة قابلة للقياس في خط الإنتاج.
استحواذ Stripe على OpenRouter بمليارات الدولارات لا يتعلق بالدفعات فحسب — بل يتعلق بامتلاك طبقة القياس والتوجيه لاقتصاد استدلال الذكاء الاصطناعي بأكمله. إليك ما يحتاج عملاء الشركات لفهمه حول هذا التوحيد الاستراتيجي.
Microsoft SharePoint تحت هجوم نشط عبر سلسلة ثغرتين (CVE-2026-55040 + CVE-2026-63520) تمكّن من تنفيذ عن بُعد غير مصادق عليه. اكتشفت Rapid7 كلتا الثغرتين باستخدام أبحاث بمساعدة الذكاء الاصطناعي، ولا يزال ما لا يقل عن 8,500 خادم مكشوفاً.
PaperCut NG/MF تتعرض لسلسلة RCE قبل المصادقة مدمجة تجمع بين CVE-2026-81578 و CVE-2026-82078. تم تجاوز التصحيح الطارئ الأول خلال ساعات، مما أجبر على إصدار ثانٍ. ما يقرب من نصف التثبيتات تبقى غير قابلة للتصحيح.
كشفت مايكروسوفت عن CVE-2026-69836، ثغرة تنفيذ كود عن بُعد بتقييم CVSS 10.0 مثالي في Entra ID. سمحت ثغرة فك التسلسل للمهاجمين غير المصادق عليهم بتنفيذ كود في العمود الفقري للهوية الذي يشغل Microsoft 365 وAzure.
صحح يوم التصحيح في أغسطس 2026 من مايكروسوفت 421 ثغرة CVE بما فيها CVE-2026-68820، ثغرة يوم صفر مستغلة بنشاط في نواة ويندوز استخدمتها مجموعة لازاروس من كوريا الشمالية لتثبيت برنامج FudModule الخبيث. ثلاث ثغرات CVSS 9.8 إضافية وسلسلة RCE مكتملة لشيربوينت تجعل هذا واحداً من أكثر أيام التصحيح إلحاحاً في التاريخ.
كشفت Oasis Security عن CVE-2026-65105، ثغرة DNS rebinding في NemoClaw من NVIDIA تتيح لصفحة ويب خبيثة تسمم نموذج الذكاء الاصطناعي المحلي خلف وكيل المطور بشكل صامت. لا يتطلب الهجوم أي تفاعل سوى زيارة صفحة ويب ويستمر تحت مستوى يمكن لأي حماية اكتشافه.
كشفت Red Hat عن CVE-2026-18963، ثغرة حرجة CVSS 9.1 في تدفق إعادة تعيين كلمة المرور في Keycloak تسمح للمهاجمين غير المصادق عليهم باختطاف أي حساب بطلبين HTTP فقط. كل نشرة مع تفعيل "نسيت كلمة المرور" معرضة للخطر.
قامت T-Mobile بقطع كابل شبكة ماديًا بمقص لطرد هاكرز Salt Typhoon الصينيين من بنيتهم التحتية. إليك لماذا كانت الطبقة 1 هي الرد الصحيح الوحيد، وماذا يعني ذلك لحدود الثقة في مؤسستك.
كشفت Check Point Research عن عملية جرائم سيبرانية حوّلت ما يقرب من 2,000 موقع ووردبريس مخترق إلى بنية تحتية إجرامية موزعة — تشمل برامج الفدية، سرقة البيانات، التلاعب ببيانات الاعتماد وحتى محادثات مباشرة مع الضحايا.
ثغرة حرجة بتقييم CVSS 9.4 في Ray، إطار الحوسبة الموزعة الذي يشغل أحمال عمل الذكاء الاصطناعي في Amazon وApple وOpenAI، يتم استغلالها بشكل نشط من قبل شبكات البوت. إليك ما يحتاج كل فريق ذكاء اصطناعي لمعرفته وفعله الآن.
أصبحت التزامات أنظمة الذكاء الاصطناعي عالية المخاطر في الاتحاد الأوروبي قابلة للتنفيذ بالكامل في 2 أغسطس 2026، مع غرامات تصل إلى 35 مليون يورو أو 7% من الإيرادات العالمية.
اختراق قرصنة كشف 3.75 مليون سجل مريض من أنظمة كير كلاود في واحدة من أكبر اختراقات البيانات الصحية في 2026.
