ارتفعت معدلات الإصلاحات الأمنية المعطوبة أو القابلة للتجاوز ضمن المشاريع مفتوحة المصدر على منصة GitHub بنحو ثمانية أضعاف خلال عام 2026، وذلك عقب سنوات من الاستقرار بمعدلات منخفضة، وفقاً لتحليل نشره الباحث Oren Yomtov من شركة Terra Security في 19 أكتوبر 2026.
راجعت Terra Security كافة سجلات CVE المنشورة وتنبيهات GitHub للبحث عن الحالات التي صدر فيها إصلاح أمني ووصف لاحقاً بنقصه أو قابليته للتجاوز. وأظهر سجل CVE قفزة مطابقة خلال العام ذاته، رغم أن الشركة لم تنشر بيانات المراجعة التفصيلية أو أحجام العينات، مكتفية بعرض الأرقام عبر رسوم بيانية ضمن مدونتها.
وأفادت الشركة بأن إصلاحات الثغرات المدرجة ضمن قائمة CISA للثغرات المستغلة فعلياً سجلت معدلات إخفاق تتجاوز بأربعة أضعاف ما سُجل في ثغرات أخرى تابعة للشركات ذاتها. وبينت أن ثغرات SSRF وprototype pollution، التي تعالج عادة عبر قوائم الحظر، تتصدر قائمة الإصلاحات المعطوبة بنسب مضاعفة، مشيرة إلى أن الحساب استند إلى صنف الثغرة وليس إلى أسلوب كتابة الإصلاح.
وقدمت الشركة تطبيق البريد المفتوح Roundcube كمثال أول، حيث اقتصر إصلاح ثغرة SSRF المعرفة بالمعرف CVE-2026-35540 على منع الروابط المتجهة إلى العنوان 127.0.0.1، متجاهلاً صيغاً بديلة للعنوان ذاته مثل 127.1 و0x7f000001 و2130706433 وأسماء النطاقات المرتبطة به. وأوضحت Terra أن ثلاث ثغرات إضافية ظهرت تباعاً في أشهر مايو ويوليو وأغسطس.
كما رصدت الظاهرة ذاتها في نواة Linux، حيث نشأ 3.2% من ثغرات CVE نتيجة إصلاحات لثغرات سابقة، وتقفز هذه النسبة إلى نحو 10% ضمن الأنظمة الفرعية الكثيفة مثل fs/smb وnet/sched. وشملت الأمثلة تعديلاً أجري عام 2023 في مقابس af_unix سمح لرسائل خارج النطاق بحمل واصفات ملفات لا يتتبعها جامع المهملات ضمن ثغرة CVE-2024-26676، وأدى إصلاحها إلى احتمالية تعليق النواة في ثغرة CVE-2024-26780، بينما تعثر إصلاح التعليق عند ترتيب معين للقائمة ليولد الثغرة CVE-2024-26750.
تناول المثال الثالث شركة Microsoft، التي رقعت في فبراير 2026 ثغرة CVE-2026-21510 في Windows Shell بعد استغلالها من مجموعة APT28. واكتشفت شركة Akamai لاحقاً نقصاً في الإصلاح يبقي مساراً يتيح لنظام Windows الاتصال بخادم المهاجم وتسريب تجزئة NTLM للمستخدم، ونشرت تفاصيل ذلك في 23 أبريل.
وعالجت Microsoft هذا النقص في أبريل عبر الثغرة CVE-2026-32202، المدرجة ضمن قائمة CISA للثغرات المستغلة بحسب Terra، في حين لم تشر نشرتها الجديدة إلى الثغرة الأولى.
تدعو Terra المطورين إلى تقييم إصلاحاتهم قبل إطلاقها للتحقق من معالجتها للسبب الجذري، وتغطيتها لفئة الثغرة بالكامل بدلاً من الاكتفاء بالحمولة المبلغ عنها، فضلاً عن فحص آثارها الجانبية. وأوصت المؤسسات بافتراض دراسة المهاجمين الإصلاحات للبحث عن طرق للالتفاف عليها، مع ضرورة مواصلة الاختبارات حتى بعد إعلان الفاحصين خلو الأنظمة من الثغرات.
