مجال بحثي · استخبارات التهديدات
وضع الثغرات الأمنية والتهديدات في سياقها – قبل أن تُغلق النافذة الزمنية
يضع Vami Research الثغرات الأمنية والحوادث الجديدة في سياقها في الوقت المناسب – عبر تقارير وضع تذكر الإصدارات المتأثرة ومسارات الهجوم والإجراءات الفورية. ويجري ترتيب الأولويات وفق CVSS وEPSS وكتالوج KEV الصادر عن CISA. وتسدّ مراقبة الويب المظلم وكشف الهجمات وMDR وتمارين المرونة الفجوة بين الإشارة والإجراء.
- تقارير الوضع
- CVSS · EPSS · KEV
- مراقبة الويب المظلم
- SIEM · EDR · NDR
- MDR
- المرونة السيبرانية
- منهجية CACS
- دراسات معمّقة
- 7
- أوراق بيضاء
- 0
- حلول
- 1
ثغرات أكثر، ونوافذ استجابة أقصر
وفق تقرير BSI عن الوضع 2025، أُعلن خلال الفترة من يوليو 2024 حتى يونيو 2025 عن 119 ثغرة أمنية جديدة يوميًا في المتوسط؛ وارتفعت هجمات الاستغلال المرصودة عبر مصائد BSI (Honeypots) بنسبة 38 بالمئة. وتصنّف نشرةٌ لمعلومات أمن تقنية المعلومات صادرة عن BSI آثار تطوّر الذكاء الاصطناعي في مستوى الحرجية 2 («أصفر»): فالذكاء الاصطناعي يخفّض الجهد والوقت وعوائق الدخول اللازمة للقدرات الهجومية. ومع هذه الكميات لا يُعدّ تصحيح كل شيء فورًا استراتيجية.
وفي الثغرات التي أصبحت معلنة، يتمثّل دورنا في تحليلها ووضعها في سياقها في الوقت المناسب. فقد كشفت Wiz Research وCalif وOpenAI ومشروع PHP عن ثغرات PHP2Shell في 21 أكتوبر 2026؛ وصدر تقرير الوضع الخاص بنا في اليوم نفسه. وتبعه في 27 أكتوبر 2026 تقرير وضع حول Brotli2Shell، وفي 31 أكتوبر 2026 تحليل حول إضافة Claude Code المتلاعَب بها في متجر Cursor – وكلٌّ منها يتضمن الإصدارات المتأثرة وخطوات الفحص وإجراءات فورية ملموسة.
ويربط هذا المجال البحثي تقارير الوضع هذه بالتشغيل الاعتيادي: إدارة الثغرات الأمنية القائمة على المخاطر، وإدارة سطح الهجوم الخارجي، ومراقبة الويب المظلم، وكشف الهجمات باستخدام SIEM وEDR وNDR، وتقنيات الخداع (Deception)، وMDR، إضافةً إلى إدارة استمرارية الأعمال وفق معيار BSI 200-4 وISO 22301. ويُضاف إلى ذلك بالنسبة لمشغّلي الشبكات في قطاع الكهرباء تصنيف الهجمات السيبرانية وفق منهجية CACS.
أسئلة مفتوحة من الممارسة العملية
- 01
أي ثغرة أمنية تسدّونها أولًا حين يُعلَن يوميًا عن أكثر من مئة ثغرة جديدة؟
نهجنا
نرتّب الأولويات وفق ثلاث إشارات: CVSS 4.0 للخطورة التقنية، وEPSS لاحتمال الاستغلال خلال الأيام الـ 30 القادمة، وكتالوج KEV الصادر عن CISA للاستغلال المثبت. وتتصدّر القائمةَ النتائجُ المدرجة في KEV على الأنظمة القابلة للوصول. ونُدرّج المهل حسب المخاطر، مثلًا وفق نموذج التوجيه BOD 26-04 الصادر عن CISA؛ أما ثغرات اليوم صفر التي لا يتوفر لها تصحيح، فتُطبَّق عليها تدابير بديلة مثل التصحيح الافتراضي (Virtual Patching).
- 02
كيف يتحوّل الإعلان عن ثغرة حرجة إلى خطة تستطيع فرق التشغيل تنفيذها فورًا؟
نهجنا
تذكر تقارير الوضع الخاصة بنا حول PHP2Shell وBrotli2Shell السببَ والإصدارات المُصلَحة ومسارات الهجوم وخطةً من 7 نقاط، إضافةً إلى فحص مدى التأثر. وفي Brotli2Shell تسير الخطة من الخارج إلى الداخل: إظهار المواضع التي يُفكّ فيها ضغط Brotli، ورفض الطلبات المرمّزة بـ Brotli عند WAF أو الوكيل (Proxy)، وتصحيح الخدمات المكشوفة أولًا، وطلب تقارير من المورّدين، وتوثيق كل شيء، وفحص التزامات الإبلاغ.
- 03
أي الإشارات من الأوساط الإجرامية السرية ومن سطح الهجوم الخارجي تقدّم إنذارًا مبكرًا بدلًا من ضجيج التنبيهات؟
نهجنا
كلاهما يحتاج إلى فرز. فنتائج الويب المظلم نتحقق منها ونرتّب أولوياتها حسب نوع الحساب والخدمة المكشوفة؛ ثم تأتي إعادة تعيين كلمات المرور، وإبطال الجلسات، وفحص MFA، والبحث عن مصدر التسرّب. أما نتائج EASM فتُنسَب وتُتحقَّق منها وتُرتَّب أولوياتها حسب درجة الانكشاف وقابلية الاستغلال والأهمية للأعمال. والمعيار هو الوقت حتى اتخاذ إجراء فعّال، لا عدد النتائج.
- 04
ما الذي يتغيّر في الكشف والاستجابة عندما يُسرّع الذكاء الاصطناعي والوكلاء الهجمات؟
نهجنا
موقفنا الأساسي هو «Assume Breach»: تُعدّ ثغرات اليوم صفر المُصحَّحة مستغَلّة إلى أن يثبت العكس. ونبني الكشف بوصفه تخصصًا هندسيًا – قواعد Sigma، والتغطية مقابل MITRE ATT&CK، وتكامل SIEM وEDR وNDR. ونتعامل مع الأنظمة الوكيلية ذات الأدوات وواجهات API بوصفها هي نفسها هدفًا للهجوم؛ ونستخدم الذكاء الاصطناعي في الدفاع مكمّلًا، لا بديلًا أبدًا.
ما نخلص إليه
- 01
تجيب CVSS وEPSS وKEV عن ثلاثة أسئلة مختلفة
من يصحّح الثغرات وفق الدرجة الأساسية في CVSS وحدها يعامل كثيرًا من الثغرات التي لن تُستغل أبدًا على أنها عاجلة، ويغفل ثغرات ذات درجة متوسطة تتعرض لهجمات نشطة. فـ CVSS يقيس الخطورة، وEPSS احتمال الاستغلال، وKEV يُظهر ما إذا كان الاستغلال يحدث بالفعل على نحو مثبت. ولا تُنتج ترتيبًا قائمًا على المخاطر إلا مجتمعةً ومرتبطةً بالأنظمة القابلة للوصول.
المرجع: إدارة الثغرات الأمنية
- 02
في دفعة CVE لعام 2026 الجارية يتبقّى في المتوسط نحو عشر ساعات حتى الاستغلال
وفق بيانات Zero Day Clock، المسترجعة في 29 يوليو 2026، انخفض متوسط الزمن حتى أول استغلال مؤكد من 2.3 سنة في دفعة CVE لعام 2018 إلى نحو عشر ساعات في دفعة 2026 الجارية – وهي سنة جزئية تضم 97 حالة مؤكدة. وتبقى إدارة الثغرات الأمنية التقليدية ضرورية، لكنها تحتاج إلى الفحص المستمر مكمّلًا لها.
المرجع: Zero-Day-Monitoring
- 03
في Brotli2Shell يتعرّض للخطر أيضًا وكلاء الذكاء الاصطناعي المزوّدون بأدوات الويب
لا تقتصر Brotli2Shell على الخوادم التي تفكّ ضغط الطلبات الواردة. فالخدمات التي تفكّ تلقائيًا ضغط الاستجابات الواردة من خوادم خارجية معرّضة للهجوم أيضًا – ومنها Webhooks وزواحف الويب (Crawlers) ووكلاء الذكاء الاصطناعي الذين يستدعون عناوين URL يختارها المستخدم. ولا يرى WAF هذا الاتجاه، ولذلك لا يُغني عن التصحيح.
المرجع: ثغرة Brotli2Shell (CVE-2026-111497): ما يجب أن تعرفه المؤسسات الآن عن Node2Shell وHTTP2Shell
- 04
كثيرًا ما يسبق تسرّبُ بيانات الاعتماد هجماتِ برامج الفدية
وفق Verizon Data Breach Investigations Report 2026، سُجّل لدى 73 بالمئة من ضحايا برامج الفدية المدروسين حدث سرقة معلومات (Infostealer) أو تسريب بيانات اعتماد في العام السابق للهجوم، ولدى نصفهم وقع ذلك خلال 95 يومًا. ومن يكتشف مثل هذه النتائج مبكرًا ويتحقق منها، يستطيع قطع سلسلة الهجوم عند حلقتها الأولى.
المرجع: مراقبة الويب المظلم
كيف نعمل
يربط Vami Research الإشارات الخارجية بحالة بيئتكم: ما المعروف، وما القابل للوصول لديكم، وما الذي يُستغل بالفعل – ومن يجب عليه الإبلاغ عنه ومتى؟
ترتيب الأولويات بثلاث إشارات
CVSS 4.0 للخطورة، وEPSS لاحتمال الاستغلال، وCISA KEV للاستغلال المثبت – مع ترجيحها حسب قابلية الوصول من الإنترنت.
صيغة تقرير الوضع
السبب، والإصدارات المتأثرة والمُصلَحة، ومسارات الهجوم، وخطة الإجراءات، والتزامات الإبلاغ – مؤرَّخة، مع المصادر وفحص مدى التأثر.
سطح الهجوم الخارجي
EASM انطلاقًا من DNS وسجلات Certificate Transparency وبيانات المسح؛ وتُكمّل Vamiset ذلك بجرد بصلاحيات قراءة فقط في السحابة والشيفرة وبالفحص من الخارج، دون وظيفة ذكاء اصطناعي حاليًا.
مراقبة ثغرات اليوم صفر المُدارة
تستخدم VamiSec من الخارج منصة VamiRedteam بثلاثة وكلاء ذكاء اصطناعي ضمن النطاق المصرّح به؛ وعلى مستوى الشيفرة تراقب VamiAppSec قائمة SBOM لكل إصدار بحثًا عن ثغرات أمنية مستغَلة بنشاط.
هندسة الكشف (Detection Engineering)
قواعد Sigma، والتغطية مقابل MITRE ATT&CK، وتكامل SIEM وEDR وNDR؛ وحالات الاستخدام (Use Cases) بوصفها محفظة ذات دورة حياة، معايَرة للحدّ من إرهاق التنبيهات.
التصنيف وفق CACS
تصنيف الهجمات السيبرانية في قطاع الكهرباء وفق مقياس ENTSO-E: السبب، والأثر المحتمل، والخطورة على امتداد سلسلة الهجوم (Kill Chain) في ATT&CK.
هكذا تبدؤون
- 1تحقيق الرؤيةرصد الأصول وسطح الهجوم الخارجي ومصادر السجلات؛ وتحليل التنبيهات الصادرة عن الشركات المصنِّعة وCERT-Bund وكتالوج KEV باستمرار.
- 2الوضع في السياقفحص مدى التأثر، وترتيب الأولويات وفق CVSS وEPSS وKEV، وتوثيق تقرير الوضع مع التاريخ والمصادر.
- 3التصرّف والإبلاغالتصحيح أو تطبيق ضوابط تعويضية، وتحديث آليات الكشف، وفحص التزامات الإبلاغ وفق NIS2 وDSGVO وDORA وCyber Resilience Act.
دراسات معمّقة وأوراق بيضاء وتحليلات
دراسات معمّقة 7
التحليلات والأخبار
- 27 أكتوبر 2026ثغرة Brotli2Shell (CVE-2026-111497): ما يجب أن تعرفه المؤسسات الآن عن Node2Shell وHTTP2Shell
- 31 أكتوبر 2026التلاعب بإضافة Claude Code في متجر Cursor: ما يجب أن تعرفه فرق التطوير عن الباب الخلفي عبر SSH
- 21 أكتوبر 2026ثغرتا PHP2Shell (CVE-2026-109618, CVE-2026-109619): خللان حرجان في نواة PHP يتيحان تنفيذ التعليمات البرمجية دون مصادقة (يفتح موقعًا خارجيًا)
من المجال البحثي إلى التطبيق
مجالات بحثية ذات صلة
تقرير وضع خاص ببيئتكم؟
نفحص مدى تأثركم، ونرتّب الأولويات وفق CVSS وEPSS وKEV، ونرافق التنفيذ. وعند الاشتباه في اختراق، يمكنكم التواصل مع فريق CSIRT لدينا على مدار الساعة عبر csirt@vamisec.com.