اضغط هنا لتصفح النشرة من الموقع

صباح الخير قراءنا الكرام،

يسعدنا أن نرحّب بكم في عددٍ جديد من نشرة أمن المعلومات، التي تستعرض شهريًّا أبرز التطورات والأحداث في مجال أمن المعلومات، إلى جانب تسليط الضوء على مخاطر الفضاء الإلكتروني وسبل التوعية بها.
 
يتناول هذا العدد مجموعة من أهم المستجدات في عالم الأمن السيبراني، بدءًا من تعزيزات الخصوصية والحماية التي أعلنتها كبرى شركات التقنية، مرورًا بحوادث اختراق وتسريب بيانات واسعة النطاق، ووصولًا إلى ثغرات أمنية حرجة يتم استغلالها بشكل نشط، والتي قد تؤثر في المستخدمين والمؤسسات على حد سواء.

كما يسلّط هذا العدد الضوء على أبرز التهديدات السيبرانية الحديثة، من اختراقات البيانات وسرقة الأكواد المصدرية إلى انتشار البرمجيات الخبيثة، كما يستعرض أخطر ثغرات Zero-Day المستغلة فعليًّا، ويقدّم نظرة سريعة على إحصائيات برامج سرقة المعلومات عالميًّا، ويتطرق إلى ما يحدث لحياتك الرقمية بعد الوفاة، مع وضع خطوات أساسية لإنشاء خطة ميراث رقمي.
 

أهم الأخبار:

• سرقة كود المصدر الخاص بشركة Cisco في اختراق لبيئة تطوير مرتبطة بأداة Trivy.

• تحذّر Microsoft من برمجية خبيثة VBS عبر WhatsApp تقوم بالسيطرة من خلال تجاوز التحكم في حساب المستخدم.

• أعلنت Google عن ميزة اكتشاف برامج الفدية واستعادة الملفات في Google Drive.

• برمجية "NoVoice" الخبيثة على متجر Google Play أصابت 2.3 مليون جهاز Android.

   

مخاطر وثغرات:

• أصلحت Google رابع ثغرة أمنية zero-day في متصفح Chrome استغلت في هجمات عام 2026.

• ثغرة أمنية zero-day حرجة في Fortinet FortiClient EMS يتم استغلالها بنشاط.

• تُصلح شركة Cisco ثغرات أمنية حرجة وعالية الخطورة.

• جهاز Citrix NetScaler تحت الاستطلاع والاستغلال النشط؛ بسبب ثغرة أمنية CVE-2026-3055 بدرجة 9.3 متعلقة بتجاوز قراءة الذاكرة.

مؤشرات وإحصائيات:

• تقرير Check Point* للأمن السيبراني 2026 - نظام سرقة المعلومات InfoStealer.

   

معلومة أمنية:

• ماذا يحدث للحياة الرقمية بعد الوفاة؟

شاهد:

• أهم النقاط الواجب التحقق منها للتسوق الإلكتروني الآمن

تعريفات:

• Cisco Systems

• Trivy

• CVE (Common Vulnerabilities and Exposures)

• GitHub

• GitHub Actions

• AWS (Amazon Web Services)

• PyPI

• npm (node package manager)

• Docker

• LiteLLM

• Checkmarx 

• Microsoft

• WhatsApp

• MSI (Microsoft Installer)

• UAC (User Account Control) 

• AnyDesk 

• VBS (Visual Basic Script) 

• General Availability 

• Google Drive 

• Google Workspace 

• artificial intelligence 

• Ransomware 

• Security Center 

• Organizational Unit (OU) 

• Google Play 

• Android

• Root (Root Access)

• Steganography

• PNG (Portable Network Graphics)

• Rootkit

• Use-After-Free 

• Command and Control Attack(C2) 

• WebGPU 

• Skia 

• WebAssembly 

• Threat Analysis Group 

• Fortinet 

• Common Vulnerability Scoring System (CVSS) 

• API (Application Programming Interface) 

• FortiClient EMS 

• RCE (Remote Code Execution) 

• Defused 

• Cisco IMC (Integrated Management Controller) 

• Smart Software Manager (SSM) OnPrem 

• HTTP Request 

• PSIRT (Product Security Incident Response Team) 

• PoC (Proof of Concept) 

• Secure Firewall FMC 

• CISA (Cybersecurity and Infrastructure Security Agency) 

• KEV (Known Exploited Vulnerabilities) 

• Citrix NetScaler ADC 

• NetScaler Gateway 

• SAML (Security Assertion Markup Language) 

• Zero-Day 

• Chromium

سرقة كود المصدر الخاص بشركة Cisco في اختراق لبيئة تطوير مرتبطة بأداة Trivy

31 مارس 2026

نظرة عامة

• تعرضت شركة Cisco لهجوم سيبراني نتيجة استغلال بيانات اعتماد مسروقة من هجوم سلسلة التوريد المرتبط بأداة Trivy أدى إلى سرقة كود المصدر الخاص بها وببعض عملائها.

• الهجوم استهدف بيئة التطوير (Dev Environment) للشركة.

تفاصيل الاختراق

• سبب الاختراق: استخدم المهاجمون إضافة خبيثة في GitHub Action من خلال اختراق أداة Trivy.

• الهدف من الإضافة: سرقة بيانات الاعتماد Credentials والبيانات من بيئة التطوير والبناء الخاصة بالشركة.

• النطاق: تأثرت العشرات من الأجهزة، بما في ذلك بعض محطات عمل المطورين والمعامل.

استجابة الشركة

• قامت الشركة باحتواء الهجوم، وعزل الأنظمة المتضررة، وإعادة تهيئتها، إلى جانب تنفيذ عملية تدوير شاملة لبيانات الاعتماد، في ظل حوادث سابقة مرتبطة بسلسلة التوريد البرمجي.

الإجراءات المتخذة

• احتوت الشركة Unified Intelligence Center، CSIRT، EOC  teams الاختراق الأولي.

• تم عزل الأنظمة المتأثرة، وإعادة تهيئتها reimaging، وتدوير بيانات الاعتماد credential rotation على نطاق واسع.

• تم الإبلاغ عن سرقة العديد من مفاتيح AWS واستخدامها في أنشطة غير مصرح بها عبر عدد صغير من حسابات Cisco على AWS.

حجم البيانات المسروقة

• استنساخ أكثر من 300 مستودع برمجي على منصة GitHub.

• شملت البيانات:

  • منتجات مدعومة بالذكاء الاصطناعي (AI Assistants, AI Defense).

  • منتجات غير مُعلنة

• بعض البيانات تعود إلى عملاء مثل:

  • بنوك

  • شركات خدمات الأعمال BPO

  • جهات حكومية أمريكية

كيف تم الهجوم؟

• تمكن المهاجمون من اختراق سير عمل GitHub (GitHub pipeline) الخاص بالمشروع. 

• توزيع برمجيات خبيثة لسرقة بيانات الاعتماد عبر الإصدارات الرسمية وإجراءات GitHub.

• مكّن هذا الهجوم من سرقة بيانات الاعتماد المستمر لخط الأنابيب (CI/CD) من المؤسسات التي تستخدم الأداة.

• منح إمكانية الوصول إلى آلاف بيئات البناء الداخلية.

الجهات المهاجمة

• يُعتقد أن أكثر من جهة تهديد شاركت في الهجوم.

• تم ربط الهجوم بمجموعة:

  • TeamPCP، استنادًا إلى استخدام برنامج سرقة المعلومات الذي أطلقوا عليه اسم "TeamPCP Cloud Stealer".

هجمات مرتبطة

• الهجوم جزء من سلسلة هجمات Supply Chain استهدفت منصات تطوير البرامج، مثل:

  • GitHub 

  • PyPI 

  • NPM 

  • Docker 

• تمكنت المجموعة من اختراق

  • حزمة LiteLLM (PyPI) 

  • مشروع Checkmarx KICS 
     

تحذّر Microsoft من برمجية خبيثة VBS عبر WhatsApp تقوم بالسيطرة من خلال تجاوز التحكم في حساب المستخدم

01 أبريل 2026

نظرة عامة

• تحذّر Microsoft من حملة خبيثة تستخدم رسائل WhatsApp لنشر ملفات Visual Basic Script "VBS" بهدف اختراق أنظمة Windows.

كيف يبدأ الهجوم؟

• بدأت الحملة في فبراير 2026، وتعتمد على VBS لإطلاق سلسلة هجوم متعددة المراحل تُمكّن المهاجمين من الوصول عن بُعد والحفاظ على وجودهم داخل النظام.
   

• مرحلة التسليم والخداع الاجتماعي:

  • يقوم المهاجمون بتوزيع ملفات VBS الضارة عبر رسائل WhatsApp.

  • تعتمد الحملة على الهندسة الاجتماعية Social Engineering لخداع الضحية بتشغيل الملفات.

  • عند تشغيل الملف، يقوم بإنشاء مجلدات مخفية في المسار C:\ProgramData.

     

• إساءة استخدام الأدوات الشرعية:

  • يقوم الملف الضار بتثبيت نسخ مُعاد تسميتها من أدوات Windows الأصلية مثل:

    • curl.exe يُعاد تسميته ليبدو netapi.dll.

    • bitsadmin.exe يُعاد تسميته ليبدو sc.exe.

  • الهدف: الاندماج مع النشاط الطبيعي للنظام وتجنب اكتشاف برامج مكافحة الفيروسات.

     

• الرابط الموثوق وتحميل ملفات إضافية من الخدمات السحابة الموثوقة:   

  • تستخدم الأدوات المُعاد تسميتها لتنزيل ملفات VBS إضافية من خدمات سحابية موثوقة، بما في ذلك:

    • AWS S3

    • Tencent Cloud

    • Backblaze B2

  • استخدام هذه الخدمات يزيد من صعوبة تمييز حركة المرور الضارة عن العادية.

     

• تجاوز User Account Control " محاولات تجاوز آلية UAC " وتصعيد الامتيازات:

  • يحاول البرنامج الضار تجاوز آلية التحكم في حساب المستخدم (UAC) بهدف الحصول على صلاحيات مرتفعة داخل النظام. 

  • يحاول البرنامج باستمرار تشغيل cmd.exe بصلاحيات مرتفعة حتى ينجح التجاوز.

  • يقوم بتعديل سجلات النظام (Registry) تحت المسار HKLM\Software\Microsoft\Win.

  • يضمن آليات استمرارية (Persistence) ليبقى نشطًا بعد إعادة تشغيل النظام.

     

• تثبيت حزم MSI الضارة:

  • بعد نجاح تجاوز User Account Control "UAC"، يقوم بنشر برامج تثبيت MSI غير موقّعة unsigned.

  • تتضمن هذه الحزم أدوات شرعية مثل AnyDesk، مما يمنح المهاجمين وصولاً عن بُعد مستمرًا لسرقة البيانات أو نشر برمجيات خبيثة إضافية.

     

النتائج والمخاطر

• يتمكن المهاجمون من الوصول الكامل للنظام، وسرقة البيانات، والتحكم عن بُعد.

أعلنت Google عن ميزة اكتشاف برامج الفدية واستعادة الملفات في Google Drive

31 مارس 2026
 

نظرة عامة

• أعلنت شركة Google رسميًا عن إتاحة ميزات اكتشاف برامج الفدية واستعادة الملفات في Google Drive للجمهور (General Availability).

• أُطلقت النسخة التجريبية الأولى في سبتمبر 2025، وتوفر ضوابط الأمان المُحدَّثة للمؤسسات حمايةً مُعززةً ضد هجمات البرامج الضارة التي تستهدف الأجهزة المحلية وعمليات مزامنة السحابة.

ما الجديد في الحماية؟

• يعتمد النظام على الذكاء الاصطناعي (AI) للكشف عن الهجمات.

• يكتشف أنماط التشفير الخاصة بالـ ransomware بشكل أسرع وأوسع، مما يقلل بشكل فعَّال من الفرصة المتاحة للمهاجمين لاختراق البيانات.

كيف تعمل الميزة؟

• عند اكتشاف سلوك مشبوه على جهاز المستخدم:

• يتم إيقاف مزامنة الملفات فورًا.

  • منع رفع الملفات المشفرة إلى السحابة.

  • إرسال تنبيهات فورية إلى:

    • المستخدم

    • مسؤولي النظام (Admins)

• الهدف: منع استبدال الملفات السليمة بنسخ مشفرة داخل Google Drive.

نظام التنبيهات

• إشعارات داخل التطبيق (Desktop pop-ups) تتطلب إصدار 114 أو أحدث. حيث إن الإصدارات الأقدم ستوقف المزامنة، لكن دون إشعارات منبثقة. 

• رسائل بريد إلكتروني. 

• تنبيهات داخل Admin Console

استعادة الملفات بعد الهجوم

• يمكن للمستخدم: 

  • تحديد عدة ملفات متضررة 

  • استعادتها دفعة واحدة (Bulk Restore) 

• يتم استرجاع الملفات إلى إصدارات ما قبل الإصابة (Pre-infection versions) 

أهم المزايا:

• AI Detection: يكشف عن إصابات برامج الفدية بمعدل يزيد 14 ضعفًا، مع تغطية أسرع وأوسع.

• عزل التهديدات تلقائيًّا: يُوقف المزامنة فورًا لحماية بيانات Google Workspace.

• التنبيهات الفورية: يُرسل إشعارات للمستخدمين والمسؤولين عبر نوافذ منبثقة على سطح المكتب، والبريد الإلكتروني، ولوحة تحكم المسؤول Admin console.

• استعادة جماعية للملفات: تُمكّن من استعادة ملفات متعددة إلى إصدارات ما قبل الإصابة بسرعة. 

• توفير واجهة مُبسّطة لاستجابة أسرع للحوادث.

• حماية متكاملة: يُؤمّن كلاً من الأجهزة المحلية وGoogle Drive في آنٍ واحد.

نتائج الاختبارات

• أفادت Google بأن آلاف المستخدمين نجحوا في اختبار أداة الاستعادة خلال المرحلة التجريبية.

• أثبتت هذه الاختبارات الواقعية قابلية الأداة للتوسع وموثوقيتها أثناء عمليات الاستجابة بعد الحوادث.

النشر والتوافر

• يتم تفعيل ميزتي الاكتشاف والاستعادة بشكل افتراضي للمؤسسات.

• يمكن للمسؤولين إدارة هذه الإعدادات على مستوى الوحدات التنظيمية Organizational Unit من خلال وحدة تحكم Google Workspace ضمن إعدادات Drive وDocs.

• يعتمد التوافر على نوع حساب Google ومستوى الترخيص المحدد:

  • استعادة الملفات: متاحة لجميع المستخدمين (حتى الحسابات الشخصية) 

• إصدارات اكتشاف برامج Ransomware: 

  • Business Standard / Plus 

  • Enterprise (جميع الفئات Starter, Standard, and Plus) 

  • Education & Frontline

برمجية "NoVoice" الخبيثة على متجر Google Play أصابت 2.3 مليون جهاز Android 

01 أبريل 2026

نظرة عامة

• اكتشف باحثو الأمن السيبراني في شركة McAfee برمجية خبيثة جديدة لنظام Android تُدعى NoVoice، لكنهم لم يتمكنوا من ربطها بجهة تهديد محددة. مع ذلك، أشاروا إلى وجود تشابه بين هذه البرمجية الخبيثة وبرنامج Triada الخبيث لنظام Android.

كيف انتشر الهجوم؟

• تم نشر البرمجية داخل أكثر من 50 تطبيقًا، مثل:

  • أدوات تنظيف الأجهزة (Cleaners)

  • تطبيقات صور (Galleries)

  • ألعاب

• التطبيقات:

  • تعمل بشكل طبيعي

  • لا تطلب صلاحيات مريبة

• مما يجعلها صعبة الاكتشاف للمستخدم العادي

سلسلة الهجوم (Infection Chain)

• تشغيل التطبيق المصاب.

• محاولة الحصول على Root Access

  • استخدام ثغرات أمنية قديمة في نظام Android بين عامي 2016 و2021 

  • استخدام 22 ثغرة أمنية، من بينها ثغرات في نواة النظام (use-after-free) وعيوب في برنامج تشغيل معالج الرسوميات Mali GPU driver.

  • تمنح المُشغّلين صلاحيات root، ما يسمح لهم بتعطيل تطبيق SELinux على الجهاز، وإزالة حماياته الأمنية الأساسية.

• استخراج ملف خبيث enc.apk مخفي داخل صورة PNG باستخدام تقنية إخفاء البيانات Steganography.

• تحميل البرمجية مباشرة في الذاكرة (In-Memory Execution) مع مسح جميع الملفات الوسيطة لإزالة أي آثار.

• تقنيات التخفي: 

  • إخفاء مكونات خبيثة في حزمة com.facebook.util، ودمجها مع فئات SDK الخاصة بـ Facebook.

  • تجنب الكشف: يتجنب البرنامج الضار إصابة الأجهزة في مناطق معينة (مثل Beijing وShenzhen في الصين)، ويجري 15 فحصًا للمحاكيات ومصححات الأخطاء وشبكات VPN.

• الاتصال بخادم التحكم والسيطرة command-and-control "C2"

  • يجمع معلومات الجهاز، مثل ما يلي، لتحديد استراتيجية الاستغلال:

    • hardware details

    • إصدار kernel

    • إصدار Android

    • مستوى التحديث الأمني patch level

    • التطبيقات المثبتة

    • root status

• يتم الاتصال بخادم C2 كل 60 ثانية لتحميل استغلال مناسب للجهاز (تحميل مكونات مختلفة لاستغلال ثغرات للوصول إلى صلاحيات root في نظام الضحية).

• السيطرة الكاملة (Rootkit)

  • بعد نجاح الاختراق:

    • تعطيل SELinux (الحماية الأساسية في Android)

    • استبدال مكتبات النظام، مثل ما يلي، ببرامج وسيطة تعترض استدعاءات النظام، وتُعيد توجيه التنفيذ إلى برمجية الهجوم.

      • libandroid_runtime.so

      • libmedia_jni.so

    • زرع برامج التجسس Rootkit:

      • تشمل: 

        • تثبيت برامج استعادة النظام

        • استبدال معالج أعطال النظام ببرنامج تحميل خاص بهم

      • تخزين حمولات احتياطية على قسم النظام (system partition) 

      • استمرارية البرمجة الخبيثة حتى بعد إعادة ضبط المصنع Factory Reset.

• آليات الاستمرارية (Persistence)

  • تشغيل خدمة مراقبة (Watchdog daemon) كل 60 ثانية للتحقق من سلامة برنامج التجسس (Rootkit).

  • إعادة تثبيت المكونات المفقودة تلقائيًّا.

  • إجبار الجهاز على إعادة التشغيل إذا تم تعطيله، مما يؤدي إلى إعادة تحميل برنامج التجسس. 

• سرقة بيانات WhatsApp (الهدف الأساسي)

  • في مرحلة ما بعد الاختراق، يتم حقن كود المهاجم في كل تطبيق يتم تشغيله على الجهاز.

  • يتم نشر مكونين رئيسين: أحدهما، يُمكّن من تثبيت التطبيقات أو إزالتها بصمت، والآخر، يعمل داخل أي تطبيق متصل بالإنترنت.

  • يُعدّ المكون الثاني آلية أساسية لسرقة البيانات، حيث يستهدف تطبيق WhatsApp بشكل أساسي.

  • عند تشغيل واتساب على جهاز مخترق، تقوم البرمجية باستخراج البيانات الحساسة اللازمة لاستنساخ جلسة الضحية، بما في ذلك:

    • قواعد بيانات التشفير.

    • مفاتيح بروتوكول Signal

    • معرّفات الحساب، مثل؛ رقم الهاتف وتفاصيل النسخ الاحتياطي على Google Drive.

  • النتيجة:

    • استنساخ جلسة WhatsApp الخاصة بالضحية على أجهزتهم.

لماذا الهجوم خطير؟

• يعمل بدون صلاحيات مشبوهة.

• يستخدم ثغرات قديمة، لكن فعالة على الأجهزة غير المحدثة.

• يستمر حتى بعد Factory Reset.

• قابل للتطوير لاستهداف أي تطبيق.

الوضع الحالي والإجراءات المتخذة

• الإزالة من متجر Google Play: تمت إزالة جميع التطبيقات الضارة من Google Play بعد إبلاغ McAfee شركة Google عنها.

• الحماية: تقوم Google Play Protect تلقائيًّا بإزالة هذه التطبيقات ومنع عمليات التثبيت الجديدة.

• الشرط الأساسي للعدوى: استغلال ثغرات قديمة تم إصلاحها منذ مايو 2021.

  • أي جهاز يعمل بتصحيح أمني Security Patch لاحق لمايو 2021 الأفضل الإشارة بأنه يقل خطر الإصابة بشكل كبير على الأجهزة المُحدّثة.

كيف تحمي نفسك؟

• تثبيت آخر التحديثات الأمنية المتاحة للأجهزة. 

• استخدام أجهزة مدعومة أمنيًّا actively supported models.

• تجنب التطبيقات غير المعروفة حتى على Google Play.

• إذا كنت مصابًا (سبق تثبيت هذه التطبيقات):

  • اعتبر جهازك وبياناتك مخترقة.

أصلحت Google رابع ثغرة أمنية zero-day في متصفح Chrome استغلت في هجمات عام 2026

01 أبريل 2026
 

نظرة عامة 

• أصدرت Google تحديثات عاجلة لإصلاح ثغرة جديدة zero-day في متصفح Chrome تم استغلالها في هجمات، لتصبح هذه هي الثغرة الأمنية الرابعة من هذا النوع التي يتم تصحيحها منذ بداية عام 2026.

تفاصيل الثغرة:

• رقم الثغرة: CVE-2026-5281

• النوع: ثغرة "الاستخدام بعد تحرير الذاكرة" (Use-After-Free).

• المكون المتأثر: Dawn، وهو التطبيق المشترك عبر المنصات لمعيار WebGPU الذي يستخدمه مشروع Chromium.

• الاستغلال: يمكن للمهاجم استغلال الثغرة للتسبب في أعطال المتصفح، وتلف البيانات، ومشكلات في العرض، أو سلوك غير طبيعي.

• التأكيد: أكدت Google وجود أدلة على استغلال نشط لهذه الثغرة في الهجمات الحقيقية، إلا أنها لم تُفصح عن تفاصيل هذه الحوادث.

موقف Google من الهجمات

• أكدت Google وجود أدلة على استغلال هذه الثغرة من قبل جهات تهديد فعلية.

• لم تشارك تفاصيل حول هذه الحوادث. 

• أوضحت أنها قد تقيد الوصول إلى تفاصيل الثغرة حتى يتم تحديث معظم المستخدمين.

التحديث الأمني

• قامت Google بإصدار تحديثات عاجلة: 

  • مستخدمي Windows وmacOS الإصدار: 146.0.7680.177/178

  • مستخدمي Linux الإصدار: 146.0.7680.177

• التحديث قد يصل تلقائيًّا خلال أيام، لكن يمكن تثبيته يدويًّا فورًا.

• إذا لم ترغب في تحديث المتصفح يدويًّا، يمكنك ضبطه للتحقق من وجود تحديثات عند التشغيل التالي وتثبيتها تلقائيًّا.

الثغرات الأمنية zero-day الأربع المستغلة في 2026

• CVE-2026-2441:

  • مشكلة في CSS (خطأ في تكرار المؤشر CSSFontFeatureValuesMap)، وقد تم إصلاحها  في منتصف فبراير.

• CVE-2026-3909:

  • خلل في مكتبة Skia للرسومات ثنائية الأبعاد (كتابة خارج النطاق).

• 7CVE-2026-3910:

  • مشكلة في محرك V8 JavaScript and WebAssembly engine (تنفيذ غير آمن).

• 6-5281: CVE-202

  • Dawn WebGPU (الثغرة الحالية).

إحصائيات عام 2025 ودور فريق TAG

• أصلحت Google ثماني ثغرات أمنية يوم الصفر zero-days تم استغلالها.

• تم اكتشاف العديد منها بواسطة فريق تحليل التهديدات (TAG) التابع للشركة والمختص بتتبع هجمات برامج التجسس.

ثغرة أمنية zero-day حرجة في Fortinet FortiClient EMS يتم استغلالها بنشاط

04 أبريل 2026


  

نظرة عامة

• أصدرت شركة Fortinet تحديثًا عاجلًا (hotfix) بعد أن كشف باحثون أمنيون عن ثغرة أمنية zero-day خطيرة في FortiClient EMS يتم استغلالها حاليًّا.

تفاصيل الثغرة 

• رقم الثغرة: CVE-2026-35616

• درجة الخطورة: حرجة 9.1 وفقًا لمعيار CVSSv3.

• نوع الثغرة: تجاوز التحكم في الوصول 

• التصنيف: CWE-284 (Improper Access Control)

• المكون المتأثر:    واجهة برمجة التطبيقات (API) في FortiClient EMS

• اكتشاف الثغرة: تم اكتشاف الثغرة بواسطة الباحث Simo Kohonen من شركة Defused، وبالتعاون مع الباحث المستقل Nguyen Duc Anh

• شدة الخطورة: 

  • لا يتطلب الاستغلال أي مصادقة مسبقة أو تفاعل من المستخدم أو صلاحيات إضافية، مما يجعلها حرجة جدًا على المؤسسات التي لديها أنظمة إدارة نقاط النهاية (EMS) متصلة بالإنترنت.

• التأثير: تنفيذ تعليمات برمجية أو أوامر عشوائية على الأنظمة المُعرّضة للخطر.

ماذا يمكن أن يفعل المهاجم؟

• يمكن للمهاجم إرسال طلبات API مُعدّة خصيصًا لتجاوز جميع عمليات التحقق من المصادقة والتفويض، مما يمنحه سيطرة كاملة على عمليات إدارة الأجهزة الطرفية.

• يعتمد أسلوب الهجوم على الشبكة، وهو منخفض التعقيد، ويؤثر بشكل كبير في سرية البيانات وسلامتها وتوافرها، مما يبرر حصوله على تصنيف CVSS شبه الأقصى.

موقف الشركة

• أكدت الشركة وجود استغلال فعلي للثغرة في الهجمات الواقعية.

• نشر بيان استشاري وإصدار التحديث العاجل في 4 أبريل 2026، وهو نفس يوم النشر الأولي.

• يشير التقرير الاستشاري لشركة Fortinet (FG-IR-26-099) إلى أن التأثير الرئيس للثغرة الأمنية هو تصعيد الامتيازات.

الإصدارات المتأثرة وغير المتأثرة والحلول

• الإصدارات المتأثرة:

  • FortiClient EMS 7.4.5

  • FortiClient EMS 7.4.6

• الإصدارات غير المتأثرة:

  • EMS 7.2. x 

• الحلول:

  • الإصدار القادم FortiClient EMS 7.4.7 إصلاحًا دائمًا.

  • أتاحت الشركة تحديثات عاجلة فورية لكلا الإصدارين المتأثرين حتى يتم الانتهاء من الإصدار القادم.

الإجراءات المطلوبة فورًا:

• تثبيت التحديث العاجل hotfix فورًا (تتوافر تعليمات التثبيت المفصلة في ملاحظات إصدار FortiClient EMS الرسمية لكل إصدار متأثر).

• مراقبة سجلات EMS بحثًا عن أي نشاط غير طبيعي في واجهة برمجة التطبيقات (API)، وخاصة الطلبات غير المصادق عليها التي قد تشير إلى محاولات استغلال سابقة.

• تقييد الوصول الخارجي إلى واجهة إدارة نظام إدارة الطوارئ على محيط الشبكة يضيف طبقة مهمة من الحماية أثناء اكتمال عملية التحديث.

تُصلح شركة Cisco ثغرات أمنية حرجة وعالية الخطورة

02 أبريل 2026
 

نظرة عامة 

• قامت شركة Cisco بإصلاح ثغرات أمنية خطيرة قد تسمح للمهاجمين بتجاوز المصادقة، وتنفيذ تعليمات برمجية، والوصول إلى بيانات حساسة.

• أصدرت Cisco تحديثات لإصلاح ثغرتين حرجتين وست ثغرات عالية الخطورة. هذه الثغرات قد تمكن المهاجمين من تجاوز المصادقة، وتنفيذ برمجيات خبيثة، وتصعيد الصلاحيات، والوصول إلى معلومات حساسة.

الثغرات الحرجة (Critical)

• CVE-2026-20093 

  • درجة الخطورة: 9.8 وفقًا لمعيار CVSS.

  • المكون المتأثر: Cisco Integrated Management Controller (IMC).

  • آلية الاستغلال: يمكن لمهاجم عن بُعد تجاوز المصادقة عبر طلب HTTP مُصمم خصيصًا.

  • التأثير المحتمل: يمكن للمهاجم تغيير كلمات مرور المستخدمين، بما في ذلك كلمة مرور المسؤول (admin)، والحصول على صلاحيات وصول كاملة إلى النظام.

  • الوصف: IMC هو نظام إدارة مدمج يُستخدم في خوادم Cisco، يسمح للمسؤولين بالتحكم في الخادم ومراقبته عن بُعد حتى لو كان نظام التشغيل متوقفًا أو لا يعمل.

     

• CVE-2026-20160 

  • درجة الخطورة: 9.8 وفقًا لمعيار CVSS.

  • المكون المتأثر: نظام إدارة الأمان المحليSSM On-Prem (Smart Software Manager On-Prem).

  • آلية الاستغلال: عبر طلب API مُصمم خصيصًا.

  • التأثير المحتمل: يسمح لمهاجم غير مصرح له بتنفيذ أوامر على نظام التشغيل المضيف Host OS بصلاحيات root privileges.

حالة الاستغلال والتوصيات

• لم يرصد فريق PSIRT التابع لشركة Cisco أي ثغرات أمنية أو نماذج برمجية لإثبات المفهوم (PoC) لهذه الثغرات.

• توصي الشركة بشدة جميع العملاء بتحديث أنظمتهم فورًا.

ثغرة zero-day السابقة

• في شهر مارس 2026، قامت الشركة بإصلاح ثغرة أمنية zero-day حرجة لتنفيذ الأوامر عن بُعد :(RCE) 

  • تحمل الرقم CVE-2026-20131

  • درجة خطورة 10.0 وفقًا لمعيار CVSS

  • موجودة في برنامج Secure Firewall FMC

  • تم استغلالها من قبل برمجية الفدية Interlock

تحذيرات الجهات الحكومية

• أصدرت CISA توجيهات للوكالات الفيدرالية بضرورة تطبيق التحديث خلال ثلاثة أيام، كما أدرجت الثغرة ضمن قائمة الثغرات المستغلة المعروفة (KEV)

جهاز Citrix NetScaler تحت الاستطلاع والاستغلال النشط
 بسبب ثغرة أمنية CVE-2026-3055 بدرجة 9.3 متعلقة بتجاوز قراءة الذاكرة

28 مارس 2026
 

نظرة عامة

• كشفت شركتا الأمن السيبراني Defused Cyber وwatchTowr عن رصد أنشطة استطلاع (Reconnaissance) نشطة تستهدف ثغرة أمنية حرجة تم الكشف عنها مؤخرًا في منتجي Citrix NetScaler ADC وNetScaler Gateway. وقد تطور الأمر لاحقًا إلى استغلال نشط في الهجمات الواقعية.

تفاصيل الثغرة 

• رقم الثغرة: CVE-2026-3055

• درجة الخطورة: حرجة (9.3 وفقًا لمعيار CVSS)

• نوع الثغرة: قراءة مفرطة للذاكرة (Memory Overread)

• السبب: ضعف التحقق من المدخلات (Input Validation)

• شرط الاستغلال: يجب أن يكون الجهاز مهيأ كمزود هوية SAML Identity Provider – SAML IDP.

• التأثير المحتمل: تسريب محتمل لمعلومات حساسة من ذاكرة الجهاز

• الأجهزة المستهدفة:

  • Citrix NetScaler ADC

  • Citrix NetScaler Gateway

ماذا يفعل المهاجم؟

• مرحلة الاستطلاع (Recon)

  • فحص /cgi/GetAuthMethods

  • الهدف:

    • معرفة طرق المصادقة

    • التأكد من استخدام SAML

       

• مرحلة الاستغلال (Exploit)

  • إرسال طلبات خبيثة SAMLRequest إلى saml/login مع حذف حقل AssertionConsumerServiceURL، مما يؤدي إلى تسريب محتويات الذاكرة عبر ملف تعريف الارتباط NSC_TASS.

  • يتأثر المسار wsfed/passive?wctx عندما يكون مُعامل سلسلة الاستعلام "wctx" موجودًا في طلب HTTP، ولكن بدون أي قيمة وبدون رمز "=". حيث سيتم التحقق من وجود هذا المُعامل فقط بدلاً من التحقق من وجود البيانات المرتبطة به. وبما أنه لا توجد قيمة فعلية في الطلب، فإنه يشير فقط إلى ذاكرة غير مستخدمة." مما يتسبب في تسريب الذاكرة على نطاق واسع. 

النتيجة

• تسريب بيانات حساسة من الذاكرة 

• البيانات تظهر داخل ملف تعريف الارتباط Cookie باسم: NSC_TASS

الإصدارات المتأثرة

• الثغرة تؤثر في:

  • NetScaler ADC و Gateway: 

  • جميع الإصدارات قبل إصدارة 14.1-60.58

  • 14.1: قبل إصدارة 14.1-66.59

  • 13.1: قبل إصدارة 13.1-62.23

  • NetScaler ADC 13.1-FIPS و13.1-NDcPP: قبل إصدارة 13.1-37.262.

ملخص تاريخي للثغرات السابقة في NetScaler

• تم استغلال العديد من الثغرات الأمنية في NetScaler بنشاط في السنوات الأخيرة في بيئات حقيقية. تشمل هذه الثغرات:

  • CVE-2023-4966 (Citrix Bleed)

  • CVE-2025-5777 (Citrix Bleed 2)

  • CVE-2025-6543

  • CVE-2025-7775

• لذا، من الضروري أن يُسرع المستخدمون إلى تحديث أنظمتهم إلى أحدث إصدار ممكن لضمان حمايتهم، فالمسألة ليست مسألة "هل سيحدث ذلك؟" بل "متى سيحدث؟".

الاستغلال النشط:

• تم تأكيد الاستغلال النشط في الهجمات الواقعية اعتبارًا من 27 مارس 2026.

إجراءات الحماية والتوصيات

• تحديث جميع الأجهزة المتأثرة فورًا إلى أحدث إصدار متوافر.

•  أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA الثغرة الأمنية إلى قائمة الثغرات الأمنية المعروفة والمستغلة KEV Catalog

• ألزمت وكالات السلطة التنفيذية المدنية الفيدرالية (FCEB) بتطبيق الإصلاحات بحلول 2 أبريل 2026. 

تقرير Check Point* للأمن السيبراني 2026 - منظومة سرقة المعلومات InfoStealer Ecosystem

نظرة عامة

• بعد تفكيك شبكات الروبوتات الرئيسة مثل Qbot وEmotet ضمن عملية Operation Endgame، ثم عملية Endgame 2.0، فقد المهاجمون وسيلة رئيسة للاختراق. 

• اتجه المهاجمون إلى تعديل أساليبهم باستخدام برمجيات سرقة المعلومات (Infostealers) كبديل أساسي.
   

• أصبحت سجلات Infostealer وبيانات اعتمادها، التي تتم مشاركتها وبيعها في المجتمعات السرية (الأسواق السوداء وقنوات تيليجرام)، بمثابة نقطة انطلاق للهجمات.

خطورة Infostealer

• تحتوي على بيانات حساسة مثل: 

  • بيانات تسجيل الدخول (Credentials) 

  • بيانات بطاقات الدفع 

  • محافظ العملات الرقمية 

• تُستخدم لشن هجمات لاحقة مثل: 

  • الاحتيال (Fraud) 

  • الاستيلاء على الحسابات (Account Takeover) 

  • هجمات برامج الفدية (Ransomware)

أشهر عائلات Infostealer

• Lumma:

  • تستحوذ على 43% من السوق (انخفاض طفيف من 51% العام الماضي).

  • يرجع ذلك على الأرجح إلى زيادة نشاط جهات إنفاذ القانون.

• Redline:

  • في المركز الثاني بنسبة 22% (ارتفاع واضح من 8%).

     

أبرز برامج سرقة المعلومات الخبيثة عالميًّا، 2025

طبيعة الأجهزة المصابة

• أكثر من 76% من الأجهزة المصابة غير مؤسسية (أجهزة شخصية).

• زيادة مقارنة بالعام الماضي (70%).

   

استراتيجية الهجوم:

• تُعرف باسم "Spray and Pray":

  • استهداف الأجهزة الأقل حماية أولًا (BYOD أو الأجهزة غير المُدارة المتصلة، بشكل مباشر أو غير مباشر، بشبكات الشركات).

  • ثم الانتقال إلى الشبكات المؤسسية عبر:

    • VPN

    • حسابات Microsoft 365

    • منصات التعاون، أو خدمات الشركات الأخرى التي تُخزّن بيانات اعتمادها ورموز الجلسات Session Tokens وملفات تعريف الارتباط في المتصفح cookies.

منصات الألعاب: تتصدر القائمة

• بيانات الدخول لمنصات الألعاب مثل:

  • Roblox

  • Steam

• للمرة الثانية على التوالي، تحتل المرتبة الأولى في السجلات المسروقة.

طرق الانتشار:

• تُستخدم منصات الألعاب كناقل فعَّال لتوزيع برمجيات السرقة، من خلال ألعاب أو محتوى مزيف (مثل "PirateFi" و "Vidor").

• تتخفى برمجيات مثل Stealka في صورة محتوى متعلق بالألعاب (برامج الاختراق، الغش، التعديلات) لاستغلال رغبة المستخدمين في تحميل برامج غير رسمية.

التوزيع الجغرافي للهجمات

• البرازيل: 

  • أكثر الدول استهدافًا.

  • تمثل حوالي 7% من النشاط. العالمي، إلا أنها لا تُمثّل سوى ثلث هذه النسبة تقريبًا عند قياس نسبة سكانها إلى سكان العالم.

• آسيا:

  • تضم 6 من أصل 10 دول الأكثر استهدافًا.

  • رغم أنها لا تتجاوز 28% من سكان العالم.

• ما سبق يشير إلى استهداف غير متناسب بالنسبة لحجم السكان.

أهم الدول لسجلات سرقة المعلومات المعروضة للبيع، 2025

نبذة عن شركة Check Point 

• تُعدّ شركة Check Point Software Technologies Ltd رائدة لمنصات الأمن السيبراني السحابية المدعومة بالذكاء الاصطناعي، حيث توفر الحماية لأكثر من 100,000 مؤسسة حول العالم. تستفيد Check Point من قوة الذكاء الاصطناعي في كل مكان لتعزيز كفاءة ودقة الأمن السيبراني من خلال منصة Infinity، التي تتميز بمعدلات اكتشاف رائدة في هذا المجال، مما يُمكّن من التنبؤ الاستباقي بالتهديدات والاستجابة بشكل أسرع وأكثر ذكاءً. تشمل هذه المنصة الشاملة تقنيات سحابية، منها Check Point Harmony لتأمين بيئة العمل، وCheck Point CloudGuard لتأمين السحابة، وCheck Point Quantum لتأمين الشبكة، وCheck Point Infinity Core Services لعمليات وخدمات الأمن التعاونية. (المصدر)

ماذا يحدث للحياة الرقمية بعد الوفاة؟

اليوم، بات جزء كبير من حياتنا مرتبطًا بالإنترنت. فالحسابات المالية، وصناديق التقاعد، وخدمات الدفع الإلكتروني، وحتى نقاط الولاء، قد تكون موجودة فقط بصيغة رقمية. وقد لا تُطبع الصور والوثائق والذكريات الشخصية، أو تُخزّن خارج الإنترنت. وتتحكم الأجهزة الذكية بالإضاءة والأقفال والمرافق. وعندما يتوفى شخص ما دون وجود خطة إرث رقمي، قد تواجه العائلات أضرارًا حقيقية.

قصة واقعية

• عندما توفي “كارلوس” فجأة، حيث كان يدير كل شيء بنفسه عبر الإنترنت، وجدت عائلته نفسها أمام مشكلة غير متوقعة:

  • بريده الإلكتروني محمي بكلمة مرور لا يعرفها أحد.

  • هاتفه مقفل برمز PIN.

  • حساباته البنكية والاستثمارية غير قابلة للوصول.

  • المدفوعات التلقائية توقفت واستمرت رسوم الاشتراكات في الخصم.

  • حساباته على وسائل التواصل الاجتماعي استمرت في إرسال تذكير بأعياد ميلاده، مستحضرة ذكريات مؤلمة.

     

• النتيجة:

  • قضت العائلة فترة طويلة، وهي تحاول الوصول إلى الحسابات، وغالبًا ما كان الرد: "لا يمكننا المساعدة بدون الوصول إلى الحساب."

لماذا الميراث الرقمي مهم؟

• إذا لم تخطط لحياتك الرقمية، قد تواجه عائلتك:

  • مشكلات مالية: عدم القدرة على الوصول للأموال أو إدارة الالتزامات الجارية.

  • ضغط نفسي: عدم تسوية الحسابات الإلكترونية أو مخاطر انتحال الهوية.

  • مخاطر أمنية: حسابات مفتوحة قد يتم اختراقها.

  • فقدان بيانات: بما في ذلك محافظ رقمية والاستثمارات الإلكترونية، أو الوثائق المهمة.

     

• الميراث الرقمي لا يعني فقدان الخصوصية، بل يعني: حماية عائلتك وضمان الاستمرارية والحماية والرعاية لمن تبقى بعدك.

الخطوات الأساسية لإنشاء خطة ميراث رقمي

• احصر ممتلكاتك الرقمية

  • ابدأ بتحديد أهم الحسابات:

    • البنوك والاستثمارات

    • التخزين السحابي والصور

    • الحسابات الطبية

    • البريد الإلكتروني (الأهم؛ لأنه يُستخدم غالبًا لإعادة تعيين كلمات المرور للعديد من الحسابات الأخرى)

    • مواقع التواصل الاجتماعي

    • أنظمة المنزل الذكي

    • لا تحتاج إلى قائمة كاملة — ركّز على المهم.

       

• استخدم مدير كلمات مرور

  • يُعدّ نسيان كلمات المرور من أكبر التحديات الإدارية التي تواجهها العائلات بعد الوفاة. يُقدّم مدير كلمات المرور حلاً آمنًا وموثوقًا لهذه المشكلة، حيث يقوم بما يلي: 

    • يخزن جميع أسماء المستخدمين وكلمات المرور بشكل مشفر. 

    • يسمح بتعيين شخص موثوق للوصول في الحالات الطارئة. 

    • الحل الأفضل لإدارة الميراث الرقمي.

  • إذا لم يكن مدير كلمات المرور خيارًا متاحًا، فاحفظ الحسابات وكلمات المرور الرئيسة في دفتر ملاحظات آمن في مكان آمن، مثل خزانة ملفات مُقفلة.

     

• اختر جهة اتصال رقمية موثوقة

  • حدد شخصًا لإدارة حياتك الرقمية:

    • زوج/زوجة

    • أحد أفراد العائلة

    • منفذ الوصية

  • أخبره:

    • بدوره

    • أين يجد المعلومات وكلمة المرور الرئيسة لمدير كلمات المرور

    • ماذا تريد أن يفعل (دفع الفواتير، إغلاق حسابات، حفظ صور، إلخ)

       

• فعّل ميزات “الإرث الرقمي”

  • كثير من الخدمات توفر:

    • تعيين شخص لإدارة حسابك “جهة اتصال موثوقة”.

    • استعادة الوصول إليه بعد فترة من عدم النشاط.

    • طلب حذف الحساب بعد الوفاة.

  • هذه الميزات تقلل التعقيد القانوني والإداري. لذلك احرص على هذه التفاصيل باستمرار في حال طرأت تغييرات على علاقاتك أو ظروفك.

     

• نصيحة أخيرة

  • إن إنشاء خطة للميراث الرقمي يحمي عائلتك من التوتر، ويمنع الاضطرابات المالية، ويضمن إدارة حياتك الرقمية بالطريقة التي تريدها.

  • لست بحاجة إلى إنجاز كل شيء اليوم، لكن بدء هذه الخطوة واتخاذ إجراءات بسيطة الآن يمكن أن يوفر على أحبائك الكثير من المعاناة لاحقًا.

أهم النقاط الواجب التحقق منها للتسوق الإلكتروني الآمن