الثغرات الأمنية المهمة في 5 نوفمبر 2026: 5 يجب تصحيحها أولاً، و5 مستغلة

تُرجم من الإنجليزية بواسطة TechUpscale بمساعدة الذكاء الاصطناعي، وتمت مراجعته مقابل النص الأصلي. اقرأ النص الأصلي بالإنجليزية

أبرز 5 ثغرات أمنية من الأسبوع الماضي مع أقوى الأدلة على وقوع هجمات حقيقية، مرتبة حسب الأدلة أولاً والاحتمالية العالية للاستغلال ثانياً. تم تأكيد أو الإبلاغ عن استغلال 5 منها في الواقع.

1. CVE-2026-97229 GitLab Community Edition and Enterprise Edition Integer Overflow or Wraparound Vulnerability

   يحتوي GitLab Community Edition and Enterprise Edition على ثغرة تجاوز سعة الأعداد الصحيحة أو الالتفاف التي يمكن أن تسمح لمستخدم غير مصادق له بتنفيذ تعليمة برمجية تعسفية على خادم GitLab عبر تعبير نمعي مصمم خصيصاً في تكوين CI/CD، نظراً لعدم كفاية التحقق من صحة التعبير النمعي. (CISA)

   • المستغلة في الواقع: أدرجتها CISA في 29 أكتوبر؛ ويجب على الوكالات الفيدرالية الأمريكية إصلاحها بحلول 1 نوفمبر.
   • VulnCheck KEV: تم الإبلاغ عن استغلالها (أُدرجت في 28 أكتوبر)، 3 تقارير. قبل CISA بيوم واحد. التقرير الأول: alpinelinux.org.
   • رمز الاستغلال العام: 6 استغلالات معروفة (VulnCheck KEV).
   • الاحتمالية (EPSS): احتمال بنسبة 65.2% لنشاط الاستغلال في الـ 30 يوماً القادمة، ضمن أعلى 1% من جميع الثغرات الأمنية (CVE).
   • تقييم CISA (SSVC): شوهد الاستغلال؛ يمكن أتمتة الهجمات؛ سيطرة كاملة على النظام المتأثر.

   ما يجب فعله (CISA): تطبيق التدابير التخفيفية وفقاً لتعليمات المورد، مع ضمان الامتثال لتوجيهات CISA للتوثيق BOD 26-04 حول إعطاء الأولوية للتحديثات الأمنية بناءً على المخاطر ومتطلبات فرز الأدلة الجنائية لـ CISA. اتبع إرشادات BOD 26-04 المعمول بها لخدمات السحابة أو توقف عن استخدام المنتج إذا كانت التدابير التخفيفية غير متوفرة. أصحاب المصلحة مسؤولون عن تقييم التعرض للإنترنت لكل أصل وضمان الالتزام بإرشادات التثبيت BOD 26-04.

   تحليلنا: ما هي وكيفية إصلاحها · سجل NVD وروابط المورد

2. CVE-2026-76418 Cisco Secure Firewall ASA Software and Cisco Secure FTD Software Unchecked Return Value to NULL Pointer Dereference Vulnerability

   يحتوي Cisco Secure Firewall ASA Software وCisco Secure FTD Software على ثغرة إلغاء مرجع مؤشر NULL لقيمة عائد غير مفحوصة والتي يمكن أن تسمح لمهاجم عن بُعد غير مصادق له بتسبب إعادة تحميل الجهاز بشكل غير متوقع، مما يؤدي إلى حالة رفض الخدمة (DoS). (CISA)

   • المستغلة في الواقع: أدرجتها CISA في 29 أكتوبر؛ ويجب على الوكالات الفيدرالية الأمريكية إصلاحها بحلول 1 نوفمبر.
   • VulnCheck KEV: تم الإبلاغ عن استغلالها (أُدرجت في 28 أكتوبر)، تقريران. قبل CISA بيوم واحد. التقرير الأول: sec.cloudapps.cisco.com.
   • الاحتمالية (EPSS): احتمال بنسبة 0.82% لنشاط الاستغلال في الـ 30 يوماً القادمة، أعلى من 57% من جميع الثغرات الأمنية (CVE).
   • تقييم CISA (SSVC): شوهد الاستغلال؛ يمكن أتمتة الهجمات؛ تأثير جزئي.

   ما يجب فعله (CISA): تطبيق التدابير التخفيفية وفقاً لتعليمات المورد، مع ضمان الامتثال لتوجيهات CISA للتوثيق BOD 26-04 حول إعطاء الأولوية للتحديثات الأمنية بناءً على المخاطر ومتطلبات فرز الأدلة الجنائية لـ CISA. اتبع إرشادات BOD 26-04 المعمول بها لخدمات السحابة أو توقف عن استخدام المنتج إذا كانت التدابير التخفيفية غير متوفرة. أصحاب المصلحة مسؤولون عن تقييم التعرض للإنترنت لكل أصل وضمان الالتزام بإرشادات التثبيت BOD 26-04.

   تحليلنا: ما هي وكيفية إصلاحها · سجل NVD وروابط المورد

3. CVE-2024-27834 Apple Multiple Products Improper Authentication Vulnerability

   تحتوي أنظمة Apple iOS وiPadOS وmacOS وSafari وtvOS وwatchOS الإصدار 10.5 على ثغرة مصادقة غير سليمة والتي يمكن أن تسمح لمهاجم لديه قدرة قراءة وكتابة تعسفية بتجاوز مصادقة المؤشر. (CISA)

   • المستغلة في الواقع: أدرجتها CISA في 4 نوفمبر؛ ويجب على الوكالات الفيدرالية الأمريكية إصلاحها بحلول 18 نوفمبر.
   • VulnCheck KEV: تم الإبلاغ عن استغلالها (أُدرجت في 4 نوفمبر)، تقريران. التقرير الأول: www.cisa.gov.
   • الاحتمالية (EPSS): احتمال بنسبة 0.60% لنشاط الاستغلال في الـ 30 يوماً القادمة، أعلى من 49% من جميع الثغرات الأمنية (CVE).
   • تقييم CISA (SSVC): شوهد الاستغلال؛ لا يمكن أتمتته بسهولة؛ تأثير جزئي.

   ما يجب فعله (CISA): تطبيق التدابير التخفيفية وفقاً لتعليمات المورد، مع ضمان الامتثال لتوجيهات CISA للتوثيق BOD 26-04 حول إعطاء الأولوية للتحديثات الأمنية بناءً على المخاطر ومتطلبات فرز الأدلة الجنائية لـ CISA. اتبع إرشادات BOD 26-04 المعمول بها لخدمات السحابة أو توقف عن استخدام المنتج إذا كانت التدابير التخفيفية غير متوفرة. أصحاب المصلحة مسؤولون عن تقييم التعرض للإنترنت لكل أصل وضمان الالتزام بإرشادات التثبيت BOD 26-04.

   سجل NVD وروابط المورد

4. CVE-2026-102435

   إن إضافة Ultra Addons for Contact Form 7 لنظام ووردبريس (WordPress) معرضة لخطر حذف الملفات التعسفية بسبب عدم كفاية التحقق من صحة مسار الملف في الدالة _getObjAttr في جميع الإصدارات حتى الإصدار 3.5.54 وتضمينه. وهذا يجعل من الممكن للمهاجمين غير المصادق لهم حذف ملفات تعسفية على الخادم، مما قد يؤدي بسهولة إلى تنفيذ تعليمة برمجية عن بُعد عندما… (NVD, CVSS 9.8)

   • VulnCheck KEV: تم الإبلاغ عن استغلالها (أُدرجت في 4 نوفمبر)، تقرير واحد. التقرير الأول: patchstack.com. ليست في كتالوج CISA بعد.
   • الاحتمالية (EPSS): احتمال بنسبة 0.59% لنشاط الاستغلال في الـ 30 يوماً القادمة، أعلى من 48% من جميع الثغرات الأمنية (CVE).
   • تقييم CISA (SSVC): لا يوجد استغلال معروف؛ يمكن أتمتة الهجمات؛ سيطرة كاملة على النظام المتأثر.

   تحليلنا: ما هي وكيفية إصلاحها · سجل NVD وروابط المورد

5. CVE-2026-120534

   إن إضافة Advanced Custom Fields: Extended PRO لنظام ووردبريس (WordPress) معرضة لحقن الأكواد المحدود في جميع الإصدارات حتى الإصدار 0.9.2.6 وتضمينه عبر الدالة render_field. ويرجع ذلك إلى عدم كفاية التحقق من صحة معاملات تكوين النموذج قبل دمجها في إعدادات الحقل وتمريرها إلى call_user_func_array في طريقة render_field. وهذا يجع… (NVD, CVSS 9.8)

   • VulnCheck KEV: تم الإبلاغ عن استغلالها (أُدرجت في 3 نوفمبر)، تقرير واحد. التقرير الأول: patchstack.com. ليست في كتالوج CISA بعد.
   • الاحتمالية (EPSS): احتمال بنسبة 0.31% لنشاط الاستغلال في الـ 30 يوماً القادمة، أعلى من 24% من جميع الثغرات الأمنية (CVE).
   • تقييم CISA (SSVC): لا يوجد استغلال معروف؛ يمكن أتمتة الهجمات؛ سيطرة كاملة على النظام المتأثر.

   تحليلنا: ما هي وكيفية إصلاحها · سجل NVD وروابط المورد

كيف نقوم بالترتيب

الأدلة على أن المهاجمين يستخدمون ثغرة تأتي في المرتبة الأولى: كتالوج الثغرات الأمنية المعروفة التي تم استغلالها من CISA، وVulnCheck KEV، وتقييم SSVC الخاص بـ CISA. ثم احتمالية الهجوم في الـ 30 يوماً القادمة من نظام التنبؤ بالاستغلال (EPSS) التابع لـ FIRST، ثم الخطورة. درجة الخطورة العالية وحدها لا تجعل الثغرة تدخل القائمة. يتم ترجيح الثغرات في أنظمة الذكاء الاصطناعي وأدوات الوكلاء لأنها تمثل هدفاً سريع النمو. كل ما يأتي هنا مستمد مباشرة من تلك المصادر؛ ولا نقوم بتقدير أي شيء بأنفسنا.

درجات EPSS مأخوذة من FIRST.org. تقارير الاستغلال التي تحمل علامة VulnCheck KEV مأخوذة من كتالوج الثغرات الأمنية المعروفة التي تم استغلالها الخاص بـ VulnCheck (البيانات حقوق النشر محفوظة لـ VulnCheck). احرص دائماً على تأكيد الإصدار المُصلح في استشارة المورد.