وصل عدد الثغرات الأمنية المشتركة والمكشوفة (CVEs) هذا العام إلى رقم قياسي جديد، متجاوزاً 100 ألف ثغرة بحلول يوم الجمعة 2026-11-13. هذا الرقم يمثل أكثر من ضعف إجمالي عام 2025، ويُعزى السبب الرئيسي لهذا الارتفاع الهائل إلى الذكاء الاصطناعي.
ارتفاع غير مسبوق في عدد الثغرات
صرح جوش بريسرز، مدير الكشف المنسق عن الثغرات في VulnCheck، لمجلة The Register بأن الوضع «جنوني نوعاً ما». وبحسب VulnCheck، بلغ عدد CVEs 100,222 ثغرة حتى وقت المقابلة. وحدها Microsoft أضافت 1,094 عيباً أمنياً إلى الإجمالي في شهر نوفمبر، بعد أن أضافت 1,474 ثغرة في الشهر الذي سبقه.
لا يمكن إنكار أن البحث عن الثغرات باستخدام الذكاء الاصطناعي يدفع غالبية ما نراه حالياً. وتصف بريسرز الوضع بأن جميع هيئات ترقيم CVE الرئيسية، مثل VulnCheck وMicrosoft وOracle وGitHub، «تصرخ في الجو حالياً» بسبب تأثير الذكاء الاصطناعي.
فيما يظل معدل استغلال هذه الثغرات في الهجمات الحقيقية ثابتاً نسبياً (حوالي 1.4% من CVEs المنشورة هذا العام أضيفت إلى قائمة VulnCheck للثغرات المستغلة المعروفة (KEV))، إلا أن العدد المطلق للثغرات المستغلة يتزايد بشكل كبير. والأخطر من ذلك هو تقلص الفترة الزمنية بين إصدار التحديث الأمني وتطوير المهاجمين لاستغلال فعال، وذلك أيضاً بفضل الذكاء الاصطناعي.
في الفترة من يناير إلى يونيو 2026، حدث 88% من عمليات الاستغلال التي رصدتها CrowdStrike باستخدام شيفرات إثبات المفهوم (PoC) العامة خلال 48 ساعة من إصدار الشيفرة. ووجدت VulnCheck أن متوسط الوقت من نشر CVE إلى الاستغلال انخفض من 120 يوماً في 2025 إلى 80 يوماً في النصف الأول من 2026، ثم انخفض أكثر في النصف الثاني. مثال على ذلك هو 14 ثغرة تم الكشف عنها في وحدات تحكم تبريد Copeland، حيث بدأت عمليات الاستغلال خلال دقائق من نشر CVEs.
تحديات جديدة لإدارة الثغرات الأمنية
يشير بريسرز إلى أننا «لم نعد نعاني من مشكلة أمنية؛ بل لدينا الآن مشكلة بيانات». بدلاً من الهوس بالثغرات الأمنية الفردية، نحتاج إلى التركيز على تحديد الثغرات التي تؤثر بالفعل على البنية التحتية لدينا. لهذا السبب، أصدرت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) في يونيو توجيهاً جديداً لإدارة الثغرات الأمنية، يستبدل سياسات المواعيد النهائية الثابتة.
يوجه التوجيه المنظمات إلى تحديد الأولويات بناءً على معايير مخاطر محددة، مثل ما إذا كان الأصل مكشوفاً على الإنترنت، أو تحت الاستغلال النشط، وما إذا كان المهاجم يمكنه أتمتة الاستغلال، بدلاً من الاعتماد فقط على درجات خطورة CVSS. هذا يعني تحديد الثغرات التي تؤثر عليك بالفعل ووضعها في قمة قائمة الإصلاح.
كما يخلق تدفق الثغرات التي يولدها الذكاء الاصطناعي مشاكل هائلة لمطوري ومحافظي البرمجيات مفتوحة المصدر، والذين يصفهم بريسرز بأنهم «يغرقون في تقارير الثغرات الأمنية». على سبيل المثال، قامت مؤسسة Eclipse Foundation في أبريل بإطلاق «طبقة مُدارة» مدفوعة لخدمة Open VSX Registry لتمويل صيانتها، في حين قام دانيال ستينبيرغ، محافظ curl، بتحديث قواعد الإبلاغ عن الأخطاء لديه في أكتوبر، حيث أصبحت تقارير الثغرات ذات الخطورة المنخفضة والمتوسطة تُنشر مباشرة في مستودع GitHub العام، وتم إغلاق برنامج المكافآت على الأخطاء الخاص بـ curl بسبب تدفق الإبلاغات المولدة بالذكاء الاصطناعي.
ماذا يعني هذا للمطورين والمصممين؟ برأينا، هذا يعني أن الطريقة الحالية التي نتعامل بها مع الثغرات الأمنية تحتاج إلى تغيير جذري وسريع. يجب على فرق التطوير الأمنية تبني نهج أكثر ذكاءً ومرونة لتحديد الأولويات، مع التركيز على المخاطر الفعلية بدلاً من مجرد العدد الهائل من CVEs. كما أن على مجتمع المصادر المفتوحة البحث عن حلول مبتكرة للتعامل مع العبء المتزايد من تقارير الثغرات، وربما استكشاف نماذج تمويل جديدة أو أتمتة أفضل لفرز التقارير. هذا ليس مجرد مشكلة أمنية، بل هو تحول كبير يتطلب إعادة التفكير في عملياتنا.
المصدر: theregister.com