كشفت المراجعة الصادرة عن وكالة الأمن السيبراني وأمن البنية التحتية الأميركية (CISA) في أغسطس 2026 عن حقيقة مقلقة تتعلق بالثغرات الأكثر استغلالاً خلال السنتين الماليتين 2024 و2025. تعود هذه الثغرات إلى فئات أخطاء برمجية معروفة منذ عقود، وكان من الممكن تفاديها كلياً عبر الالتزام بممارسات التصميم الآمن.
تؤكد المراجعة أن العقبة الحقيقية تتمثل في الثقافة التنظيمية وسير عمل المطورين والفجوات المنهجية في تطبيق مبادئ الأمان بالتصميم، بعيداً عن أي تعقيدات تقنية.
تصدرت ثغرات الحقن، ومنها البرمجة النصية عبر المواقع (XSS) وحقن SQL وحقن أوامر نظام التشغيل، سجلات CVE وكتالوج الثغرات المستغلة المعروفة (KEV). وترافقت هذه الثغرات مع ضعف التحقق من المدخلات (CWE-20) الذي سجل الحضور الأكبر ضمن أنواع الضعف المتكررة. وأوضحت وكالة CISA أن نجاح المهاجمين يعود بشكل أساسي إلى ترك نقاط ضعف برمجية بسيطة وقابلة للمنع دون معالجة، مبينة أن حل هذه المشاكل الجذرية سيكفل القضاء على نسبة كبيرة من الاختراقات الشائعة حالياً.
بالاستناد إلى تقارير مؤسسة MITRE لعامي 2007 حول الثغرات التي لا تُغتفر و2023 حول نقاط الضعف العنيدة، أظهرت بيانات 2024 أن سبعة من أكثر عشرة أنواع ضعف شيوعاً في قائمة CVE تنتمي لفئة الثغرات العنيدة. وانسحب الرقم ذاته على كتالوج KEV، لتمثل هذه الفئة 41.5% من إجمالي الثغرات المدرجة فيه. وبرزت ثلاثة أنواع محددة ضمن أكثر خمسة أنواع ضعف في الكتالوج بسبب غياب المعالجة، وتشمل ضعف التحقق من المدخلات (CWE-20)، واجتياز المسار (CWE-22)، وحقن أوامر نظام التشغيل (CWE-78)، لتثبت مدى موثوقية تحولها إلى استغلال فعلي.
استمر هذا النمط المقلق في بيانات عام 2025، حيث تبين أن سبعة من أكثر عشرة أنواع ضعف شيوعاً تنتمي لقائمة الثغرات التي اعتُبرت لا تُغتفر في عام 2007. وذكرت وكالة CISA أن استمرار ثلاثة من أكثر عشرة أنواع ضعف انتشاراً اليوم، والتي كان يفترض تصنيفها كأخطاء لا تُغتفر قبل عقدين، يبرهن على وجود خلل في الثقافة التنظيمية. وتتسم هذه الثغرات بكونها ناجمة عن أخطاء شائعة وموثقة جيداً، ويسهل على المهاجمين استغلالها وتحديد موقعها في غضون دقائق بفضل مسارات هجومها الواضحة.
أثبتت تقييمات المخاطر الميدانية التي تنفذها CISA أن ثغرات سلامة الذاكرة وضعف التحقق من المدخلات تمثل المسارات الأكثر موثوقية لتنفيذ الهجمات، مستحوذة على 16.7% من إدخالات كتالوج KEV خلال عام 2025. ويتوافق هذا مع نتائج تقرير Verizon لتحقيقات خروقات البيانات لعام 2026، الذي كشف عن تراجع معدلات معالجة ثغرات كتالوج KEV بالكامل لدى 13 ألف مؤسسة شملها الاستطلاع لتصل إلى 26% فقط، مقارنة بنحو 38% في العام السابق. وأكد التقرير تحول استغلال الثغرات إلى المتجه الأبرز للوصول الأولي إلى الشبكات المستهدفة، متجاوزاً أسلوب سرقة بيانات الاعتماد.
شهدت سجلات CVE تضاعفاً ملحوظاً خلال عام واحد، لترتفع من 14,234 سجلاً في السنة المالية 2024 إلى 30,517 سجلاً في السنة المالية 2025، ترافق ذلك مع زيادة إدخالات كتالوج KEV من 1,185 إلى 1,422 إدخالاً. ويعود هذا التسارع جزئياً إلى توظيف تقنيات الذكاء الاصطناعي في اكتشاف الثغرات، وسط استخدام الجهات الخبيثة لهذه التقنيات لأتمتة خطوات الاستغلال.
لمواجهة هذه المخاطر، جددت CISA توصيتها بضرورة تبني ممارسات الأمان بالتصميم، وتحميل الموردين مسؤولية النتائج الأمنية لعملائهم، مع العمل على تصفية فئات نقاط الضعف العنيدة والتي لا تُغتفر. وتتطلب هذه المرحلة تحسين أتمتة الإعدادات والمراقبة والتحديثات المستمرة. كما وُجهت دعوة حازمة لمشتري البرمجيات لاختيار موردين متوافقين مع هذه المعايير، مع ضمان توفر قوائم مواد البرمجيات (SBOMs) لتتبع مخاطر سلاسل الإمداد. وختمت الوكالة بالتشديد على ضرورة انتقال المنظمات من مرحلة الاستجابة للمهاجمين إلى المبادرة بإصلاح العيوب الأساسية.
