ملخص تهديدات الأمن السيبراني08-04-2026

يوم حافل بحملات تصيّد متقدمة تستهدف حسابات مايكروسوفت وقنوات التعاون، إلى جانب نشاط ملحوظ لبرمجيات خبيثة وحملات اختطاف DNS. في المقابل، برزت ثغرات حرجة عبر منصات وتطبيقات متعددة مع تحديثات أمان عاجلة، فيما يكشف الذكاء الاصطناعي عن دور متزايد في تسريع اكتشاف الثغرات واستغلالها.

التصيّد والهندسة الاجتماعية

• تصيّد عبر رمز الجهاز لمايكروسوفت: حملات واسعة تستغل تدفق OAuth برمز الجهاز لتجاوز التحقق بخطوتين والوصول الكامل للبريد والبيانات، مع استخدام رسائل مخصّصة بالذكاء الاصطناعي وتقنيات «متصفح داخل المتصفح». تُسجَّل أجهزة جديدة وتوضع قواعد بريد خبيثة بعد الاختراق.
• استغلال إشعارات SaaS: زيادة في رسائل تصيّد تمر عبر قنوات GitHub وJira الأصلية بتواقيع صحيحة، ما يصعّب اكتشافها. المؤشرات: out-28[.]smtp[.]github[.]com 192[.]30[.]252[.]211
• رموز QR في رسائل مخالفات المرور: روابط دفع مزيفة عبر QR تسحب بيانات شخصية ومصرفية.

توصيات

• تعطيل «Device Code Flow» إن لم يكن ضروريًا، والتدريب على كشف رسائل تطلب رموز أو بيانات دخول.
• تجنّب الضغط على روابط الإشعارات؛ ادخل للمنصة مباشرة، وفَعّل المصادقة الثنائية.
• لا تمسح رموز QR غير متوقعة لرسوم أو مخالفات؛ تحقّق عبر القنوات الرسمية.

برمجيات خبيثة وحملات وبنية تحتية

• REF1695: مُثبّتات ISO مزيفة على ويندوز تتجاوز SmartScreen وتحمّل CNB Bot وPureRAT وSilentCryptoMiner، مع مراقبة أدوات الحماية والتوقف المؤقت لتفادي الاكتشاف.
• ClickFix عبر Tor: صفحات CAPTCHA مزيفة تنفّذ PowerShell خفيًا لتنصيب RAT يعمل بـ Node.js باسم MSI، يتصل بـ C2 عبر Tor ويعمل بذاكرة فقط.
• حزمة npm مزيفة تسرق رموز الذكاء الاصطناعي: gemini-ai-checker تسحب بيانات المتصفحات والمحافظ وملفات الأسرار وتستهدف أدوات تطوير الذكاء الاصطناعي. مؤشرات: server-check-genimi.vercel.app/defy/v3 216.126.237.71 chai-extensions-extras express-flowlimit
• اختطاف DNS عبر أجهزة التوجيه: APT28/Forest Blizzard/FrostArmada تستغل أجهزة MikroTik وTP-Link وأداة dnsmasq لتنفيذ AiTM واعتراض بيانات Microsoft 365. مؤشرات: 64.120.31.96 79.141.160.78 23.106.120.119 79.141.173.211 185.117.89.32 185.237.166.55
• مسح وهجمات Web Shell على ووردبريس: مسح واسع لملفات ويب شيل خاصة WordPress. عناوين IP: 20.48.232.178 20.215.65.23 51.12.84.116 51.103.130.249 وملفات: /turkshell.php /wp-content/admin.php /ms-edit.php /fe5.php /av.php /wp-content/plugins/hellopress/wp_filemanager.php

توصيات

• تحديث الراوترات وتغيير كلمات المرور الافتراضية، ضبط DNS موثوق، وتقييد SNMP.
• عدم تثبيت برمجيات مجهولة أو تجاوز تحذيرات SmartScreen؛ فحص الأنظمة بمضاد فيروسات.
• تقييد رفع الملفات في المواقع ومراقبة تغييرات الملفات بحثًا عن ويب شيل.

ثغرات واستغلال وتحديثات أمنية

• أندرويد: تحديث أمني يُصلح ثغرتين خطيرتين تشمل حرمان خدمة في Framework وخللًا في StrongBox. الثغرات: CVE-2026-0049 CVE-2025-48651. أوصي بتحديث الجهاز إلى مستوى تصحيح 2026-04-05 وتفعيل Google Play Protect.
• كروم 147: إصدارات جديدة على ويندوز/ماك/لينكس وأندرويد تتضمن إصلاحات أمنية مهمة؛ يُنصح بالتحديث فورًا.
• CUPS على لينكس/يونكس: تنفيذ أوامر عن بُعد وتصعيد للجذر عبر CVE-2026-34980 وCVE-2026-34990 ضد طابعات معرّضة عبر 631/tcp. أوصي بالتحديث، تقييد المشاركة، تفعيل AppArmor/SELinux ومراقبة السجلات.
• Next.js React2Shell: استغلال CVE-2025-55182 اخترق 766 خادمًا خلال 24 ساعة، لجمع أسرار البيئة ومفاتيح SSH ورموز السحابة. مؤشرات: /tmp/.eba9ee1e4.sh nohup sh /tmp/.... يلزم التحديث الفوري وتدوير الأسرار.
• Kubernetes: استغلال الإعدادات الضعيفة وCVE-2025-55182 للقفز من الحاويات وسرقة رموز حسابات الخدمة والوصول إلى البنية السحابية. أوصي بتشديد RBAC واستبدال الرموز طويلة الأجل وتفعيل سجلات التدقيق.
• Windmill وNextcloud Flow: ثغرات حرجة منها CVE-2026-29059 (تجاوز مسارات) وثغرات حقن SQL. التحديث إلى Windmill 1.603.3 وNextcloud Flow 1.3.0، وتعطيل Flow عند التعذر.
• Flowise: استغلال نشط لثغرة RCE CVE-2025-59528 عبر CustomMCP مع آلاف الخوادم المكشوفة. يلزم التحديث إلى 3.1.1 أو 3.0.6 وإزالة التعريض للإنترنت.
• Grafana: ثغرات في مكونات الذكاء الاصطناعي وخلل «GrafanaGhost» يسمحان بتسرّب بيانات عبر عرض صور وMarkdown (روابط نسبية //). يلزم التحديث الفوري وتقييد الاتصالات الخارجية ومراجعة إعدادات الذكاء الاصطناعي.
• GPUBreach على Nvidia: هجوم Rowhammer على GDDR6 وتجاوز IOMMU مع ثغرات تعريف يمنح صلاحيات root، ويهدد البيئات السحابية واستخراج مفاتيح/أوزان نماذج. أوصي بتفعيل ECC، متابعة تحديثات Nvidia وتقييد صلاحيات استخدام GPU.
• ويندوز 0-day: نشر علني لاستغلال «BlueHammer» بدون تصحيح. يُنصح بتوخي الحذر وتحديث النظام فور صدور إصلاح.
• ووردبريس Ninja Forms File Upload: ثغرة رفع ملفات حرجة CVE-2026-0740 حتى الإصدار 3.3.26 تسمح بوضع ويب شيل والسيطرة على الموقع. يجب التحديث إلى 3.3.27 وفحص الملفات.

اختراقات وتسريبات بيانات

• Hims & Hers: اختراق منصة دعم العملاء بين 4 و7 فبراير وسرقة تذاكر تحوي أسماء ووسائل تواصل (دون السجلات الطبية) عبر استغلال حسابات SSO بالهندسة الاجتماعية؛ تُنسب الحادثة لـ ShinyHunters.
• مزود تكامل SaaS: أكثر من 12 شركة تأثرت بعد سرقة رموز مصادقة؛ رُصد نشاط في حسابات Snowflake ومحاولات على خدمات أخرى، وتطالب ShinyHunters بفدية. أوصي بتغيير كلمات المرور وحذف الرموز القديمة وتفعيل MFA.

الذكاء الاصطناعي والتهديدات المستقبلية

• Claude Mythos وProject Glasswing: نموذج من Anthropic يكتشف ويستغل آلاف الثغرات (بعضها بعمر 27 سنة) في أنظمة تشغيل ومتصفحات ومشاريع مثل Linux وOpenBSD وFFmpeg؛ متاح بنسخة معاينة لشركاء ولم يُطرح للعامة نظرًا للمخاطر. أوصي بمتابعة التصحيحات وتحديث البرمجيات فور صدورها.
• مخاطر الذكاء الاصطناعي الداخلي وهويات البرمجيات: 46٪ من الشركات تمنح أدوات الذكاء الاصطناعي وصولًا لبيانات حساسة، و76٪ بلا سياسات واضحة لإدارة الهويات، وأكثر من 40٪ شهدوا حوادث مرتبطة بهويات برمجية. إجراءات: سياسات استخدام واضحة، كشف Shadow AI، وتطبيق مبدأ أقل الصلاحيات.
• ما بعد الكم: خطر «خزّن الآن وافكّ لاحقًا» يطال بروتوكولات نقل بيانات الذكاء الاصطناعي (مثل MCP) مع تقدّم الحوسبة الكمومية. يُوصى بالتحضير لاعتماد تشفير وتوقيعات مقاومة للكم مثل ML-KEM وML-DSA، وتخطيط دوران المفاتيح، مع تسريع مبادرات المصادقة المقاومة للكم.