نافذة تسليح الثغرات انهارت من أسابيع إلى ساعات

انهارت الفجوة بين الإفصاح العلني عن ثغرة أمنية وأول استغلال فعلي لها من متوسط 56 يومًا في 2024 إلى نحو 10 ساعات اليوم. وفي بعض الحالات المرصودة، يبدأ الاستغلال قبل صدور الرقعة الأمنية أصلًا. لم تُصمَّم دورات الترقيع القائمة على وتيرة شهرية ونوافذ إصلاح مدتها 30 يومًا لهذا الواقع، وهذا التفاوت أصبح الآن المحرك الأكبر لعناوين الاختراقات.

هذا ليس افتراضًا نظريًا، بل النمط الكامن وراء كل قصة استغلال كبرى غطتها IRCNF في الأسبوعين الماضيين — والنمط نفسه هو الخبر، لا أي ثغرة بعينها.

الأرقام وراء الانهيار

سُجِّل رقم قياسي بلغ 48,185 ثغرة CVE في 2025، أي نحو 131 ثغرة يوميًا، ارتفاعًا من 40,009 في العام السابق. هذا الحجم وحده يجعل الفرز اليدوي مستحيلًا لمعظم فرق الأمن. وفوق ذلك، حملت 47.7% من الثغرات المضافة إلى كتالوج KEV التابع لـCISA في 2025 معرّفات CVE من العام نفسه. وخلال الأسبوع الأول من الإفصاح، يتعرض أكثر من 54% من الثغرات الحرجة لاستغلال فعلي. ووسطي الوقت اللازم للاستغلال الجماعي لثغرة حديثة الإفصاح بات 5 أيام فقط.

في المقابل، لم تواكب استجابة الموردين هذه الوتيرة. حتى بالنسبة للثغرات المؤكد استغلالها فعليًا، يستغرق الموردون بمعدل 15 يومًا لإصدار رقعة. أما الثغرات الحرجة عمومًا، فبلغ متوسط وقت الترقيع 54.81 يومًا في 2025.

أربع حالات حديثة تُظهر النمط

تتبّع باحثو Wiz سلسلة من ثلاث ثغرات CVE في JFrog Artifactory استخدمها مهاجمون لزرع أبواب خلفية مبنية بلغة Rust عبر خطوط بناء تابعة لشركات Fortune 100 خلال حملة استمرت 24 يومًا.

وثّقت وحدة أبحاث التهديدات في Acronis جهة مرتبطة بالصين، تُعرف باسم Red Heron، حوّلت ثغرة في Gitea (CVE-2026-60004) إلى إطار قرصنة آلي بالكامل خلال أيام من الإفصاح عنها.

عزت Cisco Talos استغلالًا فعليًا لثغرة بدرجة CVSS 10.0 في Cisco Firepower Management Center (CVE-2026-20079) إلى مجموعة Sandworm ومشغلي برنامج الفدية Qilin.

وعندما أفصحت GitLab هذا الشهر عن ثغرة بدرجة CVSS 10.0 (CVE-2026-85706)، جاء الموعد النهائي لإصلاحها من CISA للوكالات الفدرالية في نفس يوم الإفصاح.

لماذا تستمر الفجوة في الاتساع

تقود ثلاث قوى هذا التسارع: أولًا، الهندسة العكسية بمساعدة الذكاء الاصطناعي جعلت الانتقال من رقعة أو إثبات مفهوم إلى استغلال فعّال أسرع بكثير. ثانيًا، نموذج KEV التفاعلي، رغم فائدته، يبقى مؤشرًا متأخرًا بطبيعته. ثالثًا، الحجم الهائل: مع نشر 131 ثغرة يوميًا، لا يمكن حتى لفرق الأمن جيدة التجهيز تقييم قابلية الاستغلال يدويًا لكل إفصاح قبل أن يفعل المهاجمون ذلك.

ما الذي يجب أن يتغير فعليًا

الاستجابة العملية ليست "رقّع أسرع" بشكل مجرد، بل تغيير الثغرات التي تحظى باهتمام فوري وكيفية تسليم الإصلاح. يجب أن تخضع الأنظمة المتصلة بالإنترنت وبنية CI/CD وأي مورد له سجل في كتالوج KEV لاتفاقية ترقيع أسبوعية لا شهرية. ينبغي أن يُرجَّح ترتيب الأولويات وفق إشارات قابلية الاستغلال (العضوية في KEV، توفر إثبات مفهوم علني، درجة EPSS) على درجة CVSS الخام. وحيثما يتعذر نشر الرقعة خلال 72 ساعة، ينبغي أن يكون الترقيع الافتراضي عبر قواعد WAF أو تجزئة الشبكة جسرًا مؤقتًا. وأي فريق ما زال يعمل وفق نموذج "ترقيع الثلاثاء زائد 30 يومًا" يجب أن يعتبر هذا النموذج مكسورًا فعليًا لأي نظام معرّض فعليًا للإنترنت.