موجز التهديدات
اتجاهات البرمجيات الخبيثة والثغرات الأمنية في النصف الأول من عام 2026: إساءة استخدام الأدوات المشروعة والهجمات المدعومة بالذكاء الاصطناعي أصبحت سمات بارزة
أصدرت مجموعة Insikt التابعة لـ Recorded Future تقرير "H1 2026 Malware and Vulnerability Trends" الذي يُظهر أن عدد الثغرات التي تم استغلالها بنشاط في النصف الأول من عام 2026 بلغ 215 ثغرة، بزيادة سنوية قدرها 34٪؛ ويفضل المهاجمون إساءة استخدام الأدوات الشرعية والخدمات الموثوقة، ويلعب الذكاء الاصطناعي دورًا مساعدًا بشكل أساسي في الأنشطة الخبيثة. يحلل هذا المقال تأثير ذلك على أمن المؤسسات بناءً على هذا التقرير.
في النصف الأول من عام 2026، أظهرت مشهد التهديدات السيبرانية العالمية سمةً مثيرة للاهتمام: لم يكن المهاجمون في عجلة من أمرهم لتبني تقنيات جديدة غامضة، بل فضلوا "إساءة استخدام الأدوات والخدمات التي تظهر بمظهر طبيعي". من أحصنة طروادة للوصول عن بُعد (RAT) إلى برامج الفدية، ووصولًا إلى هجمات سلسلة التوريد، يبرع الجهات الخبيثة في التسلل بين البرمجيات الموثوقة وأدوات المطورين وسير العمل السحابي. يشير أحدث تقرير بحثي صادر عن Insikt Group، ذراع الاستخبارات التابع لشركة Recorded Future، بعنوان "اتجاهات البرمجيات الخبيثة والثغرات في النصف الأول من 2026"، إلى أن هذه الاستراتيجية المتمثلة في "التهرب عبر الطبيعية" تجعل الأنشطة الضارة أكثر صعوبة في اكتشافها مبكرًا من قبل فرق الدفاع.
نظرة عامة على الأحداث: قائمة وقائع من النصف الأول
يغطي التقرير بيانات البرمجيات الخبيثة والثغرات الأمنية من يناير إلى يونيو 2026، ويستند إلى تحليلات Insikt Group وسجلات التقديم على منصة Recorded Future Malware Intelligence. تشمل البيانات الأساسية:
- 215 ثغرة CVE تم استغلالها بنشاط، بزيادة حادة قدرها 34% مقارنة بـ 161 ثغرة في نفس الفترة من العام الماضي. من بينها، 146 ثغرة يمكن استغلالها دون الحاجة إلى مصادقة مسبقة، فيما يمكن لـ 142 ثغرة تلبية شرطي الوصول عبر الشبكة وعدم الحاجة إلى مصادقة في آن واحد. والأكثر إثارة للقلق، أن 60 ثغرة من ثغرات تنفيذ التعليمات البرمجية عن بُعد (RCE) تمتلك خاصيتي "الوصول عبر الشبكة + عدم المصادقة"، مما يعني أن عددًا كبيرًا من الثغرات يمكن تسليحه عن بُعد.
- لا تزال أحصنة طروادة للوصول عن بُعد (RAT) تهديدًا طويل الأمد لأمن المؤسسات. ظلت AsyncRAT وCobalt Strike وXWorm وStealc وREMCOS RAT ضمن قائمة العشرة الأوائل في كل من النصف الأول من 2025 والنصف الأول من 2026. وتصدّر AsyncRAT جميع تقديمات البرمجيات الخبيثة من حيث عدد التجزئات الفريدة (hashes) وتكوينات خادم القيادة والتحكم (C2).
- يواصل مشغلو برامج الفدية تحسين عملياتهم، لكنهم لم يبتكروا نماذج هجوم جديدة كليًا. ما زالوا يعتمدون على الهندسة الاجتماعية بأسلوب ClickFix، واستغلال ثغرات التطبيقات المعرّضة على الإنترنت، بل ويقومون مباشرة بإساءة استخدام أدوات مشروعة مثل s5cmd وPsExec وAnyDesk.
- أصبحت البرمجيات الخبيثة التي تستهدف تقنية NFC في أندرويد أكثر التهديدات وضوحًا على مستوى الأجهزة المحمولة، حيث تستغل عائلات مثل NFCShare وNGate خاصية NFC في الأجهزة لسرقة بيانات بطاقات الدفع، وترحيل المعاملات غير التلامسية، بل وحتى سحب الأموال من أجهزة الصراف الآلي.
التحليل التقني والمخاطر: الأدوات المشروعة تتحول إلى "غطاء حماية" للمهاجمين
استغلال الثغرات: من "الجدة التقنية" إلى "تركيبة المخاطر"
من الاكتشافات الأخرى التي يتضمنها التقرير أن الجهات الفاعلة المهدِّدة غالبًا لا تفرّق بين الثغرات الأمنية الحديثة والقديمة عند استغلالها. سواء كانت ثغرة شديدة الخطورة أُعلن عنها للتوّ، أو ثغرة قديمة موجودة منذ سنوات، فإن المهاجمين يتبعون الأساليب نفسها في "مرحلة ما بعد الاستغلال". ويعني ذلك أنه بالنسبة إلى المؤسسات، فإن مسألة ما إذا كانت الثغرة قد حُوّلت إلى سلاح وتعرّضت فعلًا لمسار الهجوم أكثر أهمية من التقييم الأساسي للثغرة نفسها. فعلى سبيل المثال، بين الثغرات التي تتسم بإمكانية الوصول عبر الشبكة وعدم الحاجة إلى مصادقة، يبرز خطر تنفيذ التعليمات البرمجية عن بُعد بشكل خاص. وخلف هذا الاتجاه، يميل المهاجمون إلى سلوك المسار الأقل مقاومة — باستخدام وسائل تقليدية بدلًا من البحث عن سلاسل استغلال معقدة.
الدور "الحقيقي" للذكاء الاصطناعي: مساعدة لا بديل
في النصف الأول من عام 2026، أصبح تطبيق الذكاء الاصطناعي في مجال الهجمات أكثر وضوحًا، لكن تقييم Insikt Group يرى أن الغالبية العظمى من الظواهر لا تزال ضمن المستويات من 1 إلى 3 في نموذج نضج البرمجيات الخبيثة القائمة على الذكاء الاصطناعي من Recorded Future (AIM3)، أي مراحل "التجريب والتبني والتحسين". يُستخدم الذكاء الاصطناعي بشكل أكبر لحل مشكلات محددة، مثل مساعدة البرمجيات الخبيثة على فهم عناصر واجهة المستخدم على الشاشة لتعزيز الثبات (كما في برمجية PromptSpy الخبيثة)، أو استخدام نماذج اللغة الكبيرة (LLM) لتوليد منطق إغراء يشتّت محللي الأمن (كما في حملة CANFAIL التي استهدفت منظمات أوكرانية)، وليس لقيادة عملية الهجوم بأكملها بشكل مباشر بواسطة الذكاء الاصطناعي.
في الوقت نفسه، يعمل البحث عن الثغرات المدعوم بالذكاء الاصطناعي على "تضخيم" الضغط على الجانب الدفاعي. يذكر التقرير أن إطلاق نموذج Claude Mythos Preview يبدو أنه رفع عدد الثغرات المُبلَّغ عنها: ففي يونيو، كان عدد الإفصاحات في قاعدة NVD أعلى بنسبة 43% من متوسط الأشهر الستة السابقة. كما أبلغت Mozilla أن هذا النموذج ساعد في إصلاح 271 ثغرة في Firefox 150، بينما لم يُصلَح سوى 22 ثغرة عند استخدام نموذج الجيل السابق. ويعني الانفجار الكبير في معلومات الثغرات أن فرق الأمن يجب أن تُحدد بسرعة أكبر أي الثغرات تستحق فعلًا بذل الجهد والموارد.
سلسلة التوريد والأجهزة المحمولة: مداخل مُهمَلة
تستمر هجمات سلسلة التوريد في الانتشار عبر بيئات المطورين ومديري الحزم وسلاسل أدوات الذكاء الاصطناعي. يدخل المهاجمون إلى النظم البيئية السحابية والبرمجية في المراحل السفلى عبر بيانات اعتماد مسروقة، وعمليات تكامل موثوقة، وقنوات توزيع البرمجيات. إضافةً إلى ذلك، أشار تقرير النصف الأول من 2026 إلى أسلوب هجمات Magecart الذي "يعبر" عبر خدمات طرف ثالث موثوقة ويُدرج تعليمات برمجية خبيثة في تدفق الدفع. وعلى صعيد الأجهزة المحمولة، يمثل ظهور برمجيات NFC الخبيثة مرحلة جديدة في أمن الدفع عبر الهاتف المحمول، إذ لم تعد تحاول الحصول على كلمات المرور لمرة واحدة عبر التصيد، بل تختطف اتصالات NFC مباشرة، ما يسمح للمهاجمين بترحيل المعاملات وحتى سحب النقود من أجهزة الصراف الآلي.يذكر التقرير على وجه التحديد أن مشغلي برامج الفدية اعتمدوا في النصف الأول من عام 2026 تقنيات "تقليل خيارات الاسترداد للضحايا"، مما يعني أن المؤسسات لا يمكنها الاعتماد فقط على النسخ الاحتياطي المحلي، بل يجب عليها أيضًا الاهتمام بالنسخ الاحتياطي دون اتصال وغير القابل للتغيير، بالإضافة إلى إجراء تدريبات استرداد شاملة. كما تجدر الإشارة إلى مشكلة استغلال المهاجمين للأخطاء في تكوين التخزين السحابي للمؤسسات أو إساءة استخدام أدوات خارجية (مثل s5cmd) للوصول إلى بيانات النسخ الاحتياطي.
مخاطر الامتثال وسلسلة التوريد: لم يعد الطرف الثالث مجرد "نموذج امتثال"
عندما يدخل المهاجمون إلى الأنظمة عبر مديري الحزم أو إضافات الذكاء الاصطناعي أو المكونات مفتوحة المصدر، يجب أن تتطور إدارة مخاطر الطرف الثالث ومراجعة سلسلة البرمجيات في المؤسسات من "اختبار الاختراق لمرة واحدة" إلى مراقبة مستمرة. في الوقت نفسه، فإن المتطلبات التنظيمية المتعلقة بتسرب البيانات الحساسة ستجعل حوادث التسرب الناجمة عن هجمات NFC أو الدفع تخضع لمراجعة امتثال أكثر صرامة، مما يزيد أيضًا من احتمالية تضرر سمعة العلامة التجارية.
مخاطر العلامة التجارية والثقة: "الأنشطة العادية" الصامتة هي الأصعب في الدفاع
نظرًا لأن المهاجمين يسعون جاهدين للاندماج في "حركة المرور العادية"، فقد تواجه المؤسسات فترة كمون طويلة. عندما يتم اكتشاف الهجوم في النهاية، قد يكون المهاجمون قد أكملوا بالفعل الحركة الجانبية وتسريب البيانات. عادةً ما يكون تأثير هذه الحوادث على ثقة العملاء وسمعة العلامة التجارية أكبر بكثير من المتوقع، خاصةً عندما يكون سبب الحادث الأمني هو "إساءة استخدام أدوات مؤتمتة كنا نثق بها".
ملاحظات حول اتجاهات الصناعة: وداعًا لسردية "الأحداث المعزولة"
بمقارنة النصف الأول من عام 2026 بالظروف السابقة، يمكن رؤية اتجاه طويل الأمد بوضوح: فالمهاجمون يستغلون بشكل منهجي "نقاط الثقة" في النظام البيئي للمؤسسات. سواء كانت بيئات المطورين أو أدوات الوصول عن بُعد أو مدفوعات NFC أو إضافات المساعد الذكي، فقد أسس المهاجمون قدرتهم على التوسع على "استخدام الأدوات المسموح بها".
الذكاء الاصطناعي ليس خاليًا من المخاطر. على الرغم من عدم ظهور عوامل هجوم مستقلة تمامًا حتى الآن، إلا أن حادثة Hugging Face في يوليو 2026 أظهرت إمكانية قيام عامل مستقل بإكمال الاكتشاف والتحقق والتصنيع والاستغلال بتدخل بشري محدود. يجب على جهات الدفاع التفكير في كيفية أتمتة العمليات الأمنية أيضًا لمواكبة سباق تطوير الهجمات بسرعة الآلات.
توصيات الدفاع والاستجابة: الانتقال من السيطرة على نقاط فردية إلى الدفاع الشامل على طول سلسلة الهجوم
استنادًا إلى الاتجاهات المذكورة أعلاه، يجب على مسؤولي الأمن في المؤسسات إعطاء الأولوية لتنفيذ الإجراءات التالية: 1. تعزيز إدارة التعرض: إعطاء الأولوية لإصلاح ثغرات تنفيذ التعليمات البرمجية عن بُعد التي تتسم بأنها "قابلة للوصول عبر الشبكة" و"بدون مصادقة"، وعدم الاعتماد فقط على درجات الخطورة. 2. النهوض بحوكمة الهوية والبيانات الاعتمادية: تفعيل المصادقة متعددة العوامل (MFA) للمطورين وموظفي التشغيل والأطراف الثالثة، مع التركيز بشكل خاص على إدارة الحسابات المرتبطة بالبيئات السحابية وبيانات اعتماد مدير الحزم. 3. اعتماد الكشف السلوكي: إنشاء قواعد كشف عن "السلوك المشبوه للأدوات الموثوقة" في SIEM/EDR/XDR، مثل تنفيذ PsExec على مضيفات غير متوقعة، أو اتصالات AnyDesk الجديدة غير المعتادة، أو قيام s5cmd بسرد تخزين الكائنات عالي الحركة. 4. تحسين بيئة التطوير: مراجعة إضافات أدوات الذكاء الاصطناعي والمكتبات مفتوحة المصدر وتبعيات الحزم، ونشر قائمة مكونات البرمجيات (SBOM)، ومراقبة المستودعات أو برامج التثبيت المشبوهة. 5. زيادة مرونة النسخ الاحتياطي: تنفيذ نسخ احتياطية غير قابلة للتغيير واختبارات استعادة منتظمة، وضمان عدم مشاركة النسخ الاحتياطية الأساسية للصلاحيات مع بيئة الإنتاج. 6. أمان الدفع عبر الهاتف المحمول: تفعيل سياسات امتثال الأجهزة لأجهزة الشركة، وحظر كسر الحماية (Jailbreak)، وتقييد صلاحيات تطبيقات NFC، وتوفير أجهزة مخصصة أو ضوابط محافظ للموظفين الذين يستخدمون الدفع عبر NFC. 7. الاستعداد لأتمتة الدفاع في عصر الذكاء الاصطناعي: زيادة القدرة على استخدام معلومات التهديدات لأتمتة ترتيب الأولويات وإصلاح الثغرات، للتخفيف من ضغط موجات تقارير الثغرات.
مسار الأدلة · securitypost
تضع securitypost هذه الملاحظة ضمن موجز التهديدات / أمن المؤسسات / الذكاء الاصطناعي والأمن السيبراني. موجز التهديدات / أمن المؤسسات / الذكاء الاصطناعي والأمن السيبراني يوضح الزاوية التحريرية المحلية: ينبغي فتح روابط المصادر قبل إعادة استخدام الملخص. ما زالت التواريخ والأسماء وتغيرات الحالة تحتاج إلى تحقق.