أحدث أخبار الأمن السيبراني والحوادث وتطورات نماذج الذكاء الاصطناعي، مرصودة ومحلّلة للضحايا والباحثين ضمن حدود القبعة البيضاء القانونية. بلا إجراءات اختراق أو استغلال.
تُرجمت هذه المقالة آليًا.
- Cyberattack response: country-by-country guides
Nine country guides, local-language editions and downloadable non-executable BPMN response processes.
- Cyberattack response for companies in the United States
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United States.
- Cyberattack response for companies in the United Kingdom
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United Kingdom.
- Cyberattack response for companies in Canada
Evidence, reports, counsel, insurance and public communications after a cyberattack in Canada.
- Cyberattack response for companies in Australia
Evidence, reports, counsel, insurance and public communications after a cyberattack in Australia.
- Cyberattack response for companies in Germany
Evidence, reports, counsel, insurance and public communications after a cyberattack in Germany.
- Cyberattack response for companies in France
Evidence, reports, counsel, insurance and public communications after a cyberattack in France.
- Cyberattack response for companies in the Netherlands
Evidence, reports, counsel, insurance and public communications after a cyberattack in the Netherlands.
- Cyberattack response for companies in Singapore
Evidence, reports, counsel, insurance and public communications after a cyberattack in Singapore.
- Cyberattack response for companies in Japan
Evidence, reports, counsel, insurance and public communications after a cyberattack in Japan.
- Cybersecurity daily — 1 November 2026: MCP migration and corrected extension scope
Smithery's connection-management shutdown date has arrived; Cursor's notice also names 2.1.312. Distinguish planned shutdown, observed operation and verification time.
- Cybersecurity daily — 31 October 2026: extension removal is not incident recovery
Cursor extension follow-up, Wasmtime UDP authorization bypass, and updated AWS Brotli mitigation status. Check host privileges, network authorization and deployed patches.
- Cybersecurity daily — 30 October 2026: verify enforcement beyond configuration
Clerk adds passkeys as a second factor; an older PDF MCP authentication flaw enters the advisory database. Verify enforcement, not just settings and logs.
- Cybersecurity daily — 29 October 2026: verify that Brotli patches are active
AWS details Brotli mitigation: phased Lambda rollout, Node.js 24 verification, container rebuilds and upstream-response decoding.
- Cybersecurity daily — 28 October 2026: separate detection, delegation and runtime authorization
Zuma/Agent Gateway runtime authorization and Socure Agent Intelligence: distinguish release stages and authority boundaries.
- Cybersecurity daily — 27 October 2026: the boundary around agent-managed IAM
Google Cloud introduces IAM Helper. Separate diagnostics and simulation from permission changes, and verify the approval-to-execution boundary.
- Why Faster Cybercrime Intake May Not Reduce Case Backlogs
Public Japanese statistics and an explicit queueing model show why faster intake may shift a bottleneck downstream. Evidence preservation, international assistance, and deterrence require distinct measurements.
- Crypto fraud and theft: Japanese requests for Canadian asset restraint and seizure
For Japanese victims and receiving police officers: RCMP cooperation, formal central-authority requests, evidence and translations, procedural-stage conditions and asset return.
- Prompt injection is not SQL injection: the NCSC design lesson
The NCSC blog says prompt injection is not SQL injection: current large language models do not separate instructions from data, and the risk may never be fully removed the way parameterized queries remove SQL injection (https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection). The NCSC news warns that the comparison is dangerous and challenges claims that the issue can be stopped (https://www.ncsc.gov.uk/news/mistaking-ai-vulnerability-could-lead-to-large-scale-breaches). Design lesson only. Not an attack guide and not legal advice.
- ماذا تقول للعملاء عن علامات المادة 50 من EU AI Act
تحدد صفحة Commission عن Article 50 واجبات المزودين وواجبات الـ deployers لإشعارات التفاعل، والوسم القابل للقراءة الآلية، والإفصاح عن التزييف العميق (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). يقول تنبيه مكتب محاماة إن تلك الواجبات أصبحت سارية في 2 August 2026 ولم تُؤجَّل مع قواعد المخاطر العالية (https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force). معلومات عامة، وليست مشورة قانونية.
- تمارين الأمن السيبراني التي تتبع سير عمل القطاعات
24 منظورًا قطاعيًا، و18 سطحًا تقنيًا، وثمانية تمارين دون اتصال تربط تعلّم CTF بالاستمرارية والإصلاح والتعافي.
- فيديو الذكاء الاصطناعي وانتحال الصوت وحدود السلطة
مراجعة مُسنَدة لـ Tavus، ولإساءة استخدام الذكاء الاصطناعي المبلَّغ عنها، ولحدود الهوية والموافقة وسلطة الأدوات التي ينبغي للمتبنّين اختبارها.
- System One Coding: تأليف الشيفرة عبر القرارات
كتل ذات أنواع، وتحقق مرحلي، ومقارنات مقيسة، وتجريب مجاني مسجَّل.
- إذا استُولي على حسابك: «جدول زمني» و«قائمة أدلة» تُعدّهما قبل استشارة الشرطة (يمكن نسخهما واستخدامهما)
بعد الاستيلاء على الحساب، ما يُترك دون حذف، مع نماذج للجدول الزمني وقائمة الأدلة للنسخ. ثم اتصل بشرطة بلدك أو بخدمة الإبلاغ عن الجرائم الإلكترونية، وببنكك أو مزوّد الدفع.
- إذا تعرّضت لاحتيال في الأصول المشفرة: كيف تُعدّ «جدول التحويلات» الذي يُحمَل إلى الشرطة ومنصة التداول
في احتيال الأصول المشفرة أو الاستثمار، قبل تحويل إضافي أو «متعهد استرداد»، اجمع كل دفعة والرسائل في ورقة واحدة. ثم اتصل بشرطة بلدك أو بخدمة الإبلاغ عن الجرائم الإلكترونية، وببنكك أو مزوّد الدفع، وبالمنصة. هذه الصفحة لا تعد بالاسترداد.
- ورقة عمل شكوى IC3: ماذا يُجمع قبل التقديم (احتيال العملات المشفرة والاحتيال عبر الإنترنت)
جهّز كل حقل يطلبه IC3 لدى FBI — الخسائر، وتجزئات المعاملات، وتفاصيل الطرف الآخر، والترويسات — ثم قدّم شكوى واحدة مكتملة واحتفظ بنسختك.
- لماذا تحتاج المؤسسة إلى توأم، وكيف توفّره Mithril
الإنتاج هو المكان الخطأ لمعرفة من يستطيع الوصول إلى نظام حسّاس، أو كيف يبدو الرفض، أو ما إذا كان العنقود الجاري يطابق العنقود الذي أُعلن. يحتفظ التوأم بتلك الأسماء ولا يطبّق النتيجة. تجعل Mithril هذا التوأم وثيقة: تتركّب المكوّنات ذات النطاق المعكوس، ويعيد التشغيل الاستجابة والقرار، ويُفحص العنقود مقابل الملاحظة من دون أن يُشغَّل.
- بلا مفتاح مسروق، و$351 مليون في ساعة — اختراق المحفظة الساخنة لدى Bitget وحدّ الثقة في مسار الاعتماد
أكّدت Bitget في 25 سبتمبر أن نحو $351.6 مليون غادرت أجزاء من محافظها الساخنة والدافئة في تحويلات غير مصرّح بها رُصدت عند 18:31 UTC في 24 سبتمبر. ويُفاد بأن محافظها الباردة غير المتصلة لم تتأثر، والسحوبات متوقفة، وتقول المنصة إن صندوق User Protection Fund البالغ $464 مليون يغطي الخسارة كاملة. بحسب Bitget، لم يأخذ المهاجم private keys، بل وصل إلى نظام خلفي وزيّف بيانات المعاملات ليوجّه مسار الاعتماد إلى إطلاق الأموال. ننظر في مسألة الإسناد إلى Lazarus وفي تماثل البنية مع موضوع مستوى الإدارة والهوية الذي غطاه هذا المرصد في الأسابيع الأخيرة.
- الأسبوع الذي سقط فيه مُصدِر الهوية نفسه — ثغرة اليوم الصفري في OAuth لـ F5 BIG-IP APM (CVE-2026-94127) وتركّز KEV على مستويَي الإدارة والهوية
أفصحت F5 في 22 سبتمبر عن ثغرة يوم صفري حرجة في مسار OAuth الخاص بـ BIG-IP APM (CVE-2026-94127، CVSS 9.8) تسمح بتنفيذ رمز عن بُعد من دون مصادقة، وأكّدت استغلالًا في البرية. أضافتها CISA إلى فهرس KEV في اليوم نفسه بموعد نهائي فيدرالي في 25 سبتمبر. دخلت أيضًا Arista VCO وثغرتان في خادم إدارة Check Point إلى KEV في ذلك اليوم — ندرس تقارب الهجمات على مستويَي الإدارة والهوية لأجهزة الحدود.
- الأسبوع الذي انفتح فيه الطريق إلى الجذر المحلي دفعة واحدة — ثغرات تصعيد الصلاحيات المحلية في نواة Linux تدخل فهرس KEV لدى CISA مع نزول ثغرات استغلال علنية
في 18 سبتمبر، أضافت CISA ثلاث ثغرات في نواة Linux تُستغل بنشاط (CVE-2025-39682، CVE-2026-53266، CVE-2025-39964) إلى فهرس KEV، وأكّدت Red Hat وجود رمز استغلال علني. في اليوم نفسه، نُشرت ثغرات استغلال عاملة لأربع ثغرات تصعيد صلاحيات محلية في النواة (DirtyAH6، TUNderflow، PPPoEject، DiagSpill) في إطار إفصاح منسَّق. ندرس لماذا يتبع تصعيد الصلاحيات على المضيف المشترك أجهزة الحدود إلى دائرة الضوء.
- تجاوز مصادقة بأقصى شدة يصيب سلطة الهوية نفسها — Cisco ISE CVE-2026-76460 والنمط المتكرر لاختراق جذر أجهزة الحدود
تجاوز المصادقة في Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) قيد استغلال نشط. أضافته CISA إلى فهرس KEV في 16 سبتمبر بموعد نهائي فيدرالي للمعالجة في 19 سبتمبر؛ لا يوجد حل التفافي وiACLs تخفيف فقط. ندرس نمط اختراق جذر أجهزة الحدود — الجاري بالتوازي مع ثغرة اليوم الصفري في Secure Email Gateway (CVE-2026-76461) المُفصح عنها في 14 سبتمبر — وما يعنيه أن تتوقف سجلات الجهاز المخترَق نفسه عن كونها مصدرًا أوليًا.
- بوابات الذكاء الاصطناعي تصبح سطح الهجوم — إدراج LiteLLM في KEV والمسار عبر المفاتيح وMCP والسحابة
تجاوز مصادقة MCP في BerriAI LiteLLM (CVE-2026-59822) حلّ في فهرس KEV لدى CISA، وتفيد Microsoft بأن مهاجمين يستخدمون بوابات LiteLLM لتوصيل XMRig. وجد بحث Wiz أن نحو 1 من كل 10 من أصل ~3,000 نسخة علنية قبلت المفتاح الافتراضي sk-1234 أو عملت بلا مصادقة. ندرس ما يعنيه أن تكون بنية الذكاء الاصطناعي خزانة لبيانات الاعتماد.
- حين يُختطَف جسد الوكيل — إضافة واحدة تقود مساعدي الذكاء الاصطناعي عبر خمسة منتجات
بيّنت Forever Security أن إضافة متصفح عادية واحدة تستطيع قيادة الذكاء الاصطناعي المدمج في خمسة منتجات — Chrome وComet وEdge وOpera Neon وClaude. وعلى حدة، أفادت Mandiant بأن مهاجمًا اختطف جلسة مساعد برمجة بالذكاء الاصطناعي ونشر دودة Shai-Hulud عبر نحو 100 مستودع. نرسم حدود الثقة لأوقات تشغيل الوكلاء.
- سلسلة أيام صفرية لـ«فجوة التصحيح» — ثغرات أُصلحت في Chromium ولم تُصحَّح بعد في Chrome اشتركت فيها مجموعات تجسّس متعددة خلال 1 أسبوع
تبيّن من رصد Volexity أن سلسلة هجوم BlueMoon، التي سلسلت الخروج من صندوق رمل V8 في Chrome وإساءة استخدام ALPC في Windows، كانت مشتركة بين عدة عناقيد صينية المنشأ على الأقل. نرتّب خطورة «فجوة التصحيح» التي دخل فيها إصلاح إلى Chromium ولم ينعكس بعد في Chrome المستقر.
- موجز رأس المال الجريء: SYN Ventures — صندوق متخصص في الأمن السيبراني يقوده مشغّلون
صندوق بأصول مُدارة $900M AUM، يقوده مشغّلون، بناه رؤساء أمن معلومات سابقون ومؤسسون. نرسم صندوقيه ومحفظة من نحو 40 شركة مقابل موقع mithril.fund.
- ثغرة اليوم الصفري في Cisco Secure Email Gateway CVE-2026-76461 — حين ينتهي حقن SQL في تحليل البريد بتنفيذ بصلاحية الجذر
CVE-2026-76461 (CVSS 9.8) يُستغل بنشاط وأُضيف إلى فهرس KEV لدى CISA. نفكك النمط المتكرر «اختراق جذر لجهاز حدودي» — وما يعنيه حين لا يعود ممكنًا الوثوق بسجلات الجهاز نفسه.
- تقديم مدوّنة مرصد الأمن
رصد يومي وتحليل لأخبار الأمن السيبراني والحوادث وتطورات نماذج الذكاء الاصطناعي، تُنشر هنا.
- كتابة ملفات غير مُوثّقة عبر البوابة الخلفية لبوّابة البريد — يوم صفر في FortiMail CVE-2026-104286 وخاصية IBE
أعلنت Fortinet في 1 أكتوبر عن ثغرة يوم صفر من نوع تجاوز المسار (path traversal) في FortiMail (CVE-2026-104286، CVSS 9.8) تُمكّن من كتابة ملفات اعتباطية دون مصادقة، مع تأكيد استغلالها في بيئات حقيقية. أضافتها CISA إلى كتالوج KEV في اليوم ذاته مع موعد نهائي اتحادي في 4 أكتوبر. لا توجد أي نسخة مُصحَّحة منشورة في أيٍّ من الفروع الأربعة المتأثرة، لذا تُعدّ تعطيل خاصية IBE إجراءً مؤقتًا — نعرضها في سياق ارتفاع KEV في أواخر سبتمبر.
- من ضحايا الاحتيال إلى القبعات البيضاء في المؤسسات: خريطة مشهد الأمن السيبراني (2026)
ثلاث عشرة فئة، من المساعدة لضحايا الاحتيال إلى اختبار أمن المؤسسات، مع خسائر مبلَّغ عنها، وتمويل معلَن، وتوقعات سوق حسب الناشر، وحالة صريحة لموقع Mithril.
- تجاوز ذاكرة مشروط بـ SAML في NetScaler — CVE-2026-88779 في KEV (الموعد النهائي 7 أكتوبر)
أعلنت Citrix عن خلل في حدود مخزن الذاكرة في NetScaler ADC / Gateway (CVE-2026-88779، CVSS v4.0 8.7، CWE-119). تقول Citrix إنها رصدت هجمات موجّهة على الانتشارات غير المخففة يمكن أن تؤدي إلى إنكار الخدمة. إدراج CISA في KEV يثبت استغلال الثغرة، ووصفه المختصر يقول إن الخلل قد يسمح بإنكار الخدمة. لا يؤكد أي من المصدرين أن الانتشارات المتأثرة أُوقفت فعلياً. أضافته CISA في 4 أكتوبر مع موعد نهائي فيدرالي في 7 أكتوبر. ومع CVE-2026-88771 وCVE-2026-88772 (أُضيفتا في 27 سبتمبر)، هذا ثالث إدراج KEV لـ NetScaler خلال أسبوعين، وليس الإدراج الثالث للمنتج على الإطلاق (يحتوي الفهرس على إدخالات أقدم، منها CVE-2023-4966). توقيعات Global Deny List (الإصدار 24 أو أحدث) هي التخفيف المؤقت، والإصلاح في 14.1-73.41 / 13.1-64.28 أو أحدث.
- Unauthenticated API access in Cisco Catalyst SD-WAN Manager — CVE-2026-76504 Added to KEV (Due October 3)
Cisco published CVE-2026-76504 (CVSS 3.1 9.8 per Cisco, CWE-177) in advisory cisco-sa-sdwan-webauth-xr8beuuU: improper URI-encoding handling in the API session-based authentication management of Cisco Catalyst SD-WAN Manager can let an unauthenticated remote attacker reach the API with admin privileges. CISA added it to KEV on September 30, 2026, with a federal due date of October 3. Fixed releases start at 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 (earlier branches migrate). No known workarounds exist; interim mitigation is restricting internet access to trusted hosts, plus the optional Live Protect shield. Cisco has confirmed exploitation in the wild.
- Apple CoreGraphics zero-day added to KEV — CVE-2026-86950, report of exploitation in an extremely sophisticated targeted attack (Due October 2)
On September 28, 2026, Apple released iOS 26.7.1 / iPadOS 26.7.1 / macOS Tahoe 26.7.1 / macOS Sequoia 15.8.1, fixing an out-of-bounds write (CVE-2026-86950, CWE-787) in CoreGraphics. Processing a maliciously crafted file may lead to arbitrary code execution; Apple says it is aware of a report that the issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on iOS versions before iOS 27. CISA added the vulnerability to KEV on September 29, 2026, with a federal due date of October 2 (forensicTriage Yes). The CISA-ADP CVSS 3.1 base is 8.8 (High). The fix is the listed releases only; the primary sources reviewed for this post state no interim workaround.
- Binance: 'No wallet key leaked' - the largest hot-wallet incident on record (10/29) and first observations
From the night of October 29 UTC Binance disclosed a security incident involving unauthorized withdrawals from its hot wallets. Its verified frozen total stood at $2.54B (23:22Z) and then 'around $3 billion' (10/30 00:52Z); it states it will cover all losses and suspended deposits and withdrawals. Its initial investigation 'may involve a compromised DevOps engineer's laptop' through which an attacker reached a service container and submitted unauthorized withdrawal transactions, with no evidence of a wallet private-key leak. Reported stolen amounts range $5.6B-$6.3B with no confirmed total. This article records the first passive observation of 0x3E2bf1ac6bf0934BBba6456C341c2EcbCED632d5 (named by ZachXBT after the Arbitrum Security Council's ~$30.5M freeze; first tx 10/29 21:29:47Z, 3 EVM txs, 0.0038 ETH) the on-chain verification of the Arbitrum freeze transaction (from = the address itself), and two converging third-party attribution claims (TRM Labs: TraderTraitor; Specter: commingling with the DPRK-attributed Bitget exploit via THORChain).