Read the Docs تنشر تحليل هجوم DDoS بلغ 5.5 مليون طلب في الدقيقة واستهدف ما لا يخزّنه الـ CDN
الوجود خلف CDN يحمي المحتوى القابل للتخزين المؤقت فقط، أما الصفحات التي لا تُخزَّن فتصل طلباتها إلى الخادم الأصلي مهما كانت الحماية أمامه.
قاعدة Elasticsearch مرتبطة بفيتنام كشفت 220.8 مليون سجل سفر بأرقام جوازات
الباب الأمامي كان مغلقًا بكلمة مرور، والثاني مفتوحًا بالكلمة الافتراضية. وهذا ما يحدث حين تُتاح قاعدة بيانات من أكثر من مسار ويُحصَّن واحد منها فقط.
GLM-5.3 من Z.ai يتصدر CyberGym لإيجاد الثغرات، ونسخة Flash منه مفتوحة الأوزان
حين تصبح محاولة إيجاد الثغرات رخيصة بما يكفي لتشغيلها آليًا على أي خادم مكشوف، يتحول الخطر الأكبر إلى الخوادم الصغيرة التي لا يتابع أحد تحديثاتها.
Martin Alderson: معامل AI تخلط بين الـ safety والـ security في حماية الوكلاء
نسبة فشل 2% تبدو صغيرة في معايير السلامة، لكنها في الأمن ثغرة كاملة. والسؤال لمن يشغّل وكيلًا ليس مدى أمانة النموذج، بل إلى أين يصل حين يخطئ.
باحث يحلل مفاتيح RSA بحجم 512 bit لشهادتين جذر من التسعينات على جهاز مكتبي
صعوبة كسر أي مفتاح تتآكل مع الوقت، فحجم المفتاح رهان على عدد من السنوات لا ضمان دائم، والبيانات المشفرة اليوم قد تُفتح بعد عقود بمجرد الانتظار.
فحص مستقل: تلفزيونات LG تسجل الصوت والشاشة مطفأة وترفع التسجيلات بعد عودة الإنترنت
قطع الإنترنت عن التلفزيون لا يوقف جمع البيانات بل يؤجله، فالجهاز في غرفة المعيشة يعمل كمنتج إعلاني دفع صاحبه ثمنه.
نحو 5,000 حساب Dropbox اختُرقت عبر خلل في التحقق من البريد لدى Lenovo
زر تسجيل الدخول بحساب خارجي لا ينقل عبء الأمان إلى طرف آخر، بل يستورد سياسة تحققه كما هي، فيصبح الحساب بقوة أضعف مزوّد هوية مقبول.
ثغرة StyleSmuggler غير المرقّعة في Magento وAdobe Commerce تُستغل منذ 4 سبتمبر 2026
الخلل ليس في إضافة يمكن حذفها بل في نواة المنصة نفسها، فكل متجر على النسخ الحالية مكشوف حتى يصدر إصلاح لم يتأكد موعده بعد.
Chrome يحتفظ ببيانات google.com رغم تفعيل مسح بيانات المواقع عند الإغلاق
إعداد الخصوصية في المتصفح يعني ما تقرره الشركة التي تصنعه، وحين تكون هذه الشركة معلنًا، يصبح معنى كلمة امسح جزءًا من منتجها.
اختراق حساب Cloudflare لدى Coder يوزّع وحدات Terraform خبيثة لمدة 14 ساعة
الملفات والتوقيعات قد تكون سليمة تمامًا، ومع ذلك يصل المستخدمَ كودٌ خبيث، لأن الطبقة التي تقرر أي خادم يردّ هي التي سقطت.
أكثر من 5,400 موقع مخترق توزّع برمجيات خبيثة مخزّنة على blockchain بأسلوب EtherHiding
حين يُخزَّن الكود الخبيث على سجل موزّع لا يملكه أحد، تفقد أداة الدفاع المعتادة، وهي إغلاق الخادم المستضيف، معناها بالكامل.
اختراق خدمة Cadence لدى JetBrains يكشف نسخة احتياطية من 2024 تضم مفاتيح AWS
النسخة الاحتياطية القديمة ليست مجرد نسخة من البيانات، بل نسخة من الأسرار التي كانت صالحة وقتها، وقد تظل صالحة ما دام أحد لم يغيّرها.
PostgreSQL تصلح ثغرة CVE-2026-6471 في logical decoding بعد 12 عامًا من ظهورها
صلاحية تُمنح لأدوات النسخ الاحتياطي والمراقبة على أنها صلاحية قراءة كانت تكفي لتنفيذ كود على الخادم، والخوادم التي تُدار ذاتيًا ولم تُحدَّث منذ أغسطس ما تزال مكشوفة.
Google تصلح ثغرة V8 مستغلة فعليًا في Chrome 152، والأثر يمتد إلى تطبيقات Electron
المتصفح يحدّث نفسه عند إعادة تشغيله، أما التطبيق المبني على Electron فيحمل نسخة Chromium كاملة تنتظر إصدارًا جديدًا من صاحب المنتج.
Trezor: اختراق شريك الشحن ShipMonk كشف بيانات 67,000 عميل إضافي منذ 2019
التأكيد المكتوب من المزوّد بأنه حذف البيانات ليس دليلًا على الحذف، والشركة مسؤولة عن بيانات عملائها لدى الأطراف الأخرى لا على خوادمها فقط.
Google تحصر نموذج Gemini 3.8 Flash Cyber لإصلاح الثغرات في برنامج وصول مقيّد
الحاجز أمام أداة الدفاع الأقوى ليس السعر بل الهوية. ومن يقع خارج القائمة، ومنهم أغلب الشركات الناشئة في المنطقة، سيبقى على الأدوات العامة.
خدمة Nexus تعرض 153 مليون صورة رخصة قيادة سُحبت عبر وصول مستمر لمدة عام
حين تُرسل منصات الـ KYC صور الهويات إلى طرف ثالث، يصبح أمان العملاء معلقًا بأمان شركة أخرى، والتسريب المستمر يعني أن الضرر كان جاريًا بينما العمل يسير كالمعتاد.
npm تتيح أكثر من إعداد trusted publishing للحزمة وتربط الموافقة على النشر بانتهاء فحص البرمجيات الخبيثة
النشر على مرحلتين يضع بابًا بين اختطاف الـ workflow ووصول الحزمة إلى المستخدمين، ومن يستهلك الحزم فقط يستفيد دون أن يفعل شيئًا.
ثغرات GitSpawn: فتح مجلد مشروع بأداة agent قد يكفي لتنفيذ أوامر دون موافقة
الخطر هنا ليس في النموذج ولا في الـ prompt، بل في إعداد قديم في git صار يعمل تلقائيًا لأن الأدوات الجديدة تستدعي git في الخلفية دون أن يلاحظ أحد.
METR تكشف سرقة مفتاح API استُخدم 3 أسابيع بما قيمته 600 ألف دولار دون أن يُلاحظ
لم يكن في الحادثة اختراق عبقري، بل تطبيق سريع ومفتاح داخله وغياب أي سقف للصرف، وهو وضع شائع في فرق كثيرة تستخدم مفاتيح النماذج.
Claude Code يضيف قاعدة Containment Escape تمنع الموافقة التلقائية على سحب مفاتيح السحابة
حين يعمل agent على خادم سحابي ويقرأ نصوصًا لم يكتبها صاحبه، يصبح نطاق الضرر المحتمل حساب السحابة كله لا المستودع وحده. بعض الأوامر يجب أن تبقى بحاجة إلى موافقة مهما كان الوضع مريحًا.
ثغرة NetScaler وصفتها Citrix بتعطيل خدمة تدخل كتالوج CISA كتنفيذ أوامر دون مصادقة
تصنيف الخطورة الذي يكتبه المورد يرتب طابور التحديثات لدى العملاء، وحين يقلل الوصف من الخطر تتأخر الإصلاحات بينما يقرأ المهاجمون الباتش نفسه.
ثغرة في GitHub Actions لدى Snowflake كشفت token لنظام Jira الداخلي عبر عنوان issue
أي workflow يتعامل مع نص يكتبه طرف خارجي ويحمل secret في بيئته يشبه هذه الحالة تمامًا، فالخلل هنا نمط متكرر لا خطأ نادر.
ثغرتان في روبوت Unitree G1 تسمحان بصلاحية root عبر Bluetooth دون حساب
الحلقة الحاسمة في السلسلة ليست في الروبوت، بل في endpoint سحابي تحقق من هوية المستخدم ونسي التحقق من ملكيته، وهو خطأ شائع في أي خدمة SaaS.
npm يقصر tokens تخطي المصادقة الثنائية على النشر ويمنعها من تعديل الحسابات
مفتاح النشر في أنظمة CI كان يفتح الحساب كله، فتسريبه كان يعني فقدان السيطرة على الحساب قبل نشر أي نسخة ملوثة.
تسريب بيانات 8.7 مليون عميل في ثلاثة مطارات بريطانية معظمها من نموذج تسجيل الواي فاي
النظام الأضعف في أي شركة غالبًا ليس المنتج بل نموذج تسويقي منسي خارج مراجعات الأمان، يواصل جمع البيانات لسنوات.
إصدار Claude Code 2.1.251 يصلح خمس ثغرات أمنية كلها في التعامل مع المسارات
من يشغّل agent على مستودع لم يكتبه لا يثق في الكود وحده، بل في ملفات الإعدادات أيضًا، فهي كانت جزءًا من سطح الهجوم.
Ring تجعل نظام التشفير TAKE افتراضيًا ومفتاحها يُحذف بعد 24 ساعة
السؤال المفيد عن أي خدمة سحابية لم يعد هل البيانات مشفرة، بل متى يُحذف المفتاح، ومن يملك نسخة منه قبل ذلك.
الشرطة الأسترالية وFBI يعتقلان شابين متهمين بالوقوف وراء دودة Shai-Hulud
القبض على المتهمين لا ينهي الخطر، لأن كود الدودة نُشر قبل ذلك على منتديات الجريمة. والـ token واسع الصلاحيات في أنظمة CI يبقى الهدف نفسه.
باحثو Mindguard: prompt injection في Amazon Kiro تعمل بمجرد فتح المجلد وإرسال أي رسالة
مقياس الخطر المعتاد عند فتح مستودع غريب هو هل سيُشغَّل الكود أم لا، وهذه الحالة تُظهر أن القراءة وحدها قد تكفي في أداة يديرها agent.