العدد الأسبوعي رقم 218 – الجمعة 26 سبتمبر 2025
مفاتيح المرور – طريقة أبسط وأكثر أمانًا لتسجيل الدخول
اضغط هنا لتصفح النشرة من الموقع
صباح الخير قراءنا الكرام،
مرحبًا بكم في العدد الجديد من نشرة أمن المعلومات والتي تتناول شهريًا أهم الأحداث الخاصة بأمن المعلومات، إضافةً إلى التوعية بمخاطر الفضاء الإلكتروني.
يرصد هذا العدد مجموعة من أبرز الأحداث في مجال أمن المعلومات، فضلًا عن الثغرات والهجمات الإلكترونية التي تهم المستخدمين.
أهم الأخبار:
غرامة مالية قدرها 379 مليون دولار على Google من قِبل هيئة تنظيمية فرنسية؛ بسبب انتهاكات تتعلق بموافقة ملفات تعريف الارتباط (Cookies).
استغلال تقويم iCloud لإرسال رسائل تصيّد احتيالي عبر خوادم Apple.
مجموعة قرصنة تدّعي مسؤوليتها عن الهجوم السيبراني على شركة Jaguar Land Rover.
اختراق بيانات شركة Palo Alto Networks يكشف معلومات العملاء وحالات الدعم.
مخاطر وثغرات:
أصلحت شركة Samsung ثغرة حرجة استُغلت في هجمات تستهدف هواتف Android.
أصلح تطبيق WhatsApp ثغرة أمنية استُخدمت في هجمات النقر الصفري (Zero-Click Attacks).
أصلحت Adobe ثغرة حرجة باسم SessionReaper في منصة التجارة الإلكترونية Magento.
أصلحت شركة Cisco ثغرات أمنية عالية الخطورة في نظام IOS XR تتيح تجاوز الصورة وهجمات رفض الخدمة (DoS).
مؤشرات وإحصائيات:
تقرير المخاطر السيبرانية لعام 2025 من *TrendMicro – القطاعات ذات أعلى متوسط لمؤشر مخاطر الأمن السيبراني (Cyber Risk Index – CRI) خلال الفترة من فبراير إلى ديسمبر 2024.
معلومة أمنية:
مفاتيح المرور – طريقة أبسط وأكثر أمانًا لتسجيل الدخول
شاهد:
حماية الهاتف المحمول
تعريفات:
Cookies
COPPA (Children’s Online Privacy Protection Act)
FTC
Phishing
CallBack phishing
iCloud Calendar
Sender Policy Framework (SPF)
DKIM
DMARC
Microsoft 365
Sender Rewriting Scheme (SRS)
Return-Path
كفالة (Bail)
OAuth
Salesforce
الهجوم على سلسلة التوريد (Supply Chain Attack)
AWS
Snowflake
Tor
Vishing
Gitleaks
TruffleHog
ثغرة صفر يوم (Zero-day)
CVE (Common Vulnerabilities and Exposures)
Out-of-Bounds Write
Common Vulnerability Scoring System (CVSS)
مكتبة Image I/O
Adobe Commerce
Magento Open Source
Commerce REST API
WAF
Hotfix
Cisco IOS XR
ARP (Address Resolution Protocol)
Software Image Verification Bypass
root
SSH
NETCONF (Network Configuration Protocol)
gRPC
اضغط هنا للتواصل معنا
مقتطفات لأهم الأحداث الخاصة بأمن المعلومات محليًا وعالميًا
غرامة مالية قدرها 379 مليون دولار على Google من قِبل هيئة تنظيمية فرنسية؛ بسبب انتهاكات تتعلق بموافقة ملفات تعريف الارتباط (Cookies)
04 سبتمبر 2025
غرامات على Google وShein
فرضت هيئة حماية البيانات الفرنسية (CNIL) غرامة قدرها 379 مليون دولار (325 مليون يورو) على Google، و175 مليون دولار (150 مليون يورو) على شركة التجارة الإلكترونية الصينية Shein؛ بسبب انتهاكات متعلقة بملفات تعريف الارتباط (Cookies).
السبب: الشركتان قامتا بتثبيت ملفات تعريف الارتباط Cookies الإعلانية على متصفحات المستخدمين دون الحصول على موافقتهم.
أكدت Shein أنها عدّلت أنظمتها للتوافق مع اللوائح، وأعلنت نيتها الطعن على القرار.
أعلنت CNIL أن Google شجّعت المستخدمين على قبول ملفات تعريف الارتباط Cookies الإعلانية المخصصة، دون إعلامهم بوضوح أن الموافقة شرط للوصول إلى خدمات Google؛ مما جعل الموافقة غير صحيحة وفقًا للقانون الفرنسي لحماية البيانات (المادة 82).
رغم أن Google أضافت خيار رفض ملفات تعريف الارتباط Cookies في أكتوبر 2023، فإن غياب الموافقة المستنيرة استمر.
قضايا إضافية:
كشفت CNIL أيضًا أن Google عرضت إعلانات على شكل رسائل بريد إلكتروني ضمن رسائل أخرى في علامتي التبويب “العروض الترويجية” و” التواصل الاجتماعي” في Gmail، وهو ما يتطلب موافقة صريحة من المستخدمين بموجب قانون البريد والاتصالات الإلكترونية الفرنسي (CPCE).
غرامات أخرى:
في ديسمبر 2024، فُرضت غرامة قدرها 50 مليون يورو على شركة الاتصالات الفرنسية Orange لقيامها بممارسات مشابهة.
طُلب من Google تصحيح أنظمتها خلال 6 أشهر، وإلا ستواجه غرامة يومية قدرها 100,000 يورو.
قضية خصوصية أخرى ضد Google في الولايات المتحدة
وجدت هيئة محلفين أمريكية أن Google انتهكت خصوصية المستخدمين بجمع بياناتهم حتى بعد إيقافهم ميزة “نشاط الويب والتطبيقات”.
أُلزمت Google بدفع 425 مليون دولار كتعويضات، في إطار دعوى جماعية رُفعت في يوليو 2020.
اعتبرت Google القرار سوء فهم لطريقة عمل منتجاتها، وأكدت أنها ستحاول الاستئناف.
غرامة على ديزني؛ بسبب انتهاك خصوصية الأطفال
وافقت شركة ديزني على دفع 10 ملايين دولار لتسوية اتهامات من لجنة التجارة الفيدرالية الأمريكية (FTC).
السبب:
جمع بيانات شخصية من الأطفال دون سن 13 عامًا يشاهدون مقاطع الفيديو على YouTube دون إخطار أو موافقة الوالدين، في انتهاك لقانون حماية خصوصية الأطفال على الإنترنت (COPPA).
لم تقم ديزني بتصنيف بعض مقاطع الفيديو على أنها “مصنوعة للأطفال”، مما سمح لها بجمع بياناتهم واستخدامها لعرض إعلانات مستهدفة.
تُلزم التسوية المقترحة ديزني:
البدء في الحصول على موافقة الوالدين قبل جمع البيانات الشخصية من الأطفال دون سن الثالثة عشرة.
تصنيف مقاطع الفيديو بشكل صحيح إذا كانت موجهة للأطفال.
إجراءات ضد شركة ألعاب صينية Apitor
اتخذت لجنة التجارة الفيدرالية الأمريكية FTC إجراءات ضد شركة ألعاب روبوت صينية Apitor Technology.
السبب:
السماح لشركة خارجية تُدعى JPush بجمع بيانات الموقع الجغرافي للأطفال سرًا دون علم أو موافقة أولياء أمورهم، في انتهاك لقانون حماية خصوصية الأطفال على الإنترنت (COPPA).
المصدر
استغلال تقويم iCloud لإرسال رسائل تصيّد احتيالي عبر خوادم Apple
07 سبتمبر 2025
تم اكتشاف أن دعوات تقويم iCloud تُستغل لإرسال رسائل تصيد احتيالي على شكل إشعارات شراء، ويتم إرسالها مباشرة من خوادم البريد التابعة لشركة Apple، مما يجعلها تبدو موثوقة، وتتجاوز مرشحات البريد العشوائي والوصول إلى صناديق البريد الوارد للضحايا.
في وقت سابق من هذا الشهر، إحدى الرسائل ادّعت خصم 599 دولارًا من حساب PayPal، وأرفقت رقم هاتف مزيفًا للتواصل في حال الرغبة في مناقشة عملية الدفع أو تعديلها.
الهدف: خداع المستلمين للاعتقاد بأن حسابهم على PayPal قد تم اختراقه أو تحصيل رسوم مزيفة، ودفعهم للاتصال برقم “الدعم” المزيف.
عند الاتصال، يحاول المحتال إقناع الضحية بأن حسابه قد تم اختراقه أو أن عليه السماح لهم بالاتصال بجهاز الكمبيوتر لتنفيذ استرداد الأموال، وغالبًا ما يطلبون تنزيل وتشغيل برامج.
الخطر: الوصول عن بُعد لسرقة الأموال من الحسابات البنكية، أو نشر البرمجيات الخبيثة، أو سرقة بيانات.
الخدعة:
الإرسال من عنوان بريد noreply@email.apple.com، واجتاز اختبارات الأمان (SPF, DMARC, DKIM)، مما يثبت أنه جاء بالفعل من خادم بريد Apple بشكل شرعي.
اتضح أن البريد لم يكن سوى دعوة تقويم iCloud، حيث وضع المهاجم نص التصيّد في خانة Notes ودعا بريدًا تابعًا لـ Microsoft 365 يتحكم فيه.
كيفية تنفيذ الهجوم
المهاجم أدرج رسالة التصيد داخل حقل الملاحظات (Notes) في دعوة تقويم iCloud فعند إنشاء حدث تقويم iCloud ودعوة أشخاص خارجيين، تُرسل دعوة عبر البريد الإلكتروني من خوادم Apple على email.apple.com من اسم مالك تقويم iCloud بعنوان البريد الإلكتروني “noreply@email.apple.com“.
الدعوة وُجهت إلى بريد Microsoft 365 مرتبط بقائمة بريدية Mailing List، بحيث تتم إعادة توجيه الرسالة لجميع الأعضاء المستهدفين.
بما أن البريد صادر من خوادم Apple، فإنه ينجح في اجتياز اختبارات SPF وDKIM وDMARC، مما يزيد من مصداقيته.
خطورة الهجوم
رغم أن حيلة التصيّد ليست جديدة، فإن استغلال ميزة رسمية من iCloud وخوادم بريد Apple نفسها يمنح هذه الرسائل مستوى عاليًا من المصداقية، كما يسمح لها بتجاوز مرشحات البريد العشوائي؛ نظرًا لقدومها من مصدر موثوق.
لم ترد شركة Apple بعد على استفسارات وسائل الإعلام حول هذه الثغرة في الاستخدام.
نصائح للمستخدمين
كقاعدة عامة، إذا تلقيت دعوة تقويم غير متوقعة مرفقة برسالة غريبة، فيجب التعامل معها بحذر شديد وعدم التفاعل معها.
المصدر
مجموعة قرصنة تدّعي مسؤوليتها عن الهجوم السيبراني على شركة Jaguar Land Rover
03 سبتمبر 2025
قراصنة شباب يوقفون خطوط الإنتاج العالمية لشركة Jaguar Land Rover
مجموعة من القراصنة الشباب الناطقين باللغة الإنجليزية تسمى Scattered Lapsus$ Hunters تزعم أنها المسؤولة عن هجوم سيبراني عطّل خطوط الإنتاج العالمية لشركة Jaguar Land Rover (JLR).
مجموعة القراصنة:
تُسمي نفسها Scattered Lapsus$ Hunters.
سبق أن نفذت هجمات على تجار تجزئة في المملكة المتحدة، مثل Marks & Spencer (M&S).
تتكون من مزيج من قراصنة مراهقين وشباب مرتبطين بشبكة إجرامية تسمى The Com، والتي تضم مجموعات شهيرة مثل Shiny Hunters وLapsus$ وScattered Spider.
تفاصيل الهجوم:
مجموعة القراصنة نشروا لقطات شاشة عبر تطبيق Telegram تُظهر تعليمات تقنية داخلية واضحة لاستكشاف مشكلة في شحن السيارة وإصلاحها وسجلات حاسوبية داخلية من أنظمة شركة JLR.
القراصنة يحاولون ابتزاز الشركة ماليًّا، لكن لم يؤكدوا سرقة بيانات أو نشر برمجيات خبيثة.
يعتقد خبراء أمن أن القراصنة حصلوا بالفعل على وصول إلى معلومات لا ينبغي لهم الوصول إليها، وإلى الأنظمة والشبكات الداخلية للشركة.
رد فعل الشركة والجهات المعنية:
إيقاف الأنظمة: أكدت الشركة وقوع الهجوم، وأوضحت أنها اتخذت إجراءات فورية بإيقاف أنظمتها لتقليل الأضرار.
تأثير الإنتاج: الهجوم تسبب في تعطيل مواقع إنتاج مثل HalewoodوSolihull، وأُرسِل الموظفون إلى منازلهم، وأكدت الشركة أنها تعمل على إعادة تشغيل التطبيقات والأنظمة بشكل آمن ومنظم.
حماية البيانات: أفادت الشركة أنه “لا يوجد دليل على سرقة أي بيانات للعملاء، ولكن أنشطة البيع بالتجزئة والإنتاج تعطلت بشكل كبير”، لكنها لا تزال تتحقق من ذلك.
الوضع العام:
قناة Telegram الخاصة بالقراصنة تضم حوالي 52 ألف مشترك، وتنشر باستمرار تفاخرًا بعمليات الاختراق.
هذا هو رابع حساب لهم على تطبيق Telegram بعد إغلاق الحسابات السابقة.
في يوليو الماضي، اعتقلت وكالة الجريمة الوطنية البريطانية 4 أشخاص (أعمارهم بين 17 و19 عامًا) على صلة بهجمات مماثلة ضد شركات بريطانية كبرى، وأُفرج عنهم بكفالة.
المصدر
اختراق بيانات شركة Palo Alto Networks يكشف معلومات العملاء وحالات الدعم
02 سبتمبر 2025
تفاصيل الحادثة
تعرّضت شركة Palo Alto Networks لاختراق كشف بيانات العملاء وحالات الدعم، بعد أن استغل المهاجمون رموز OAuth المخترقة الناتجة عن اختراق تطبيق Salesloft Drift للوصول إلى منصة Salesforce الخاصة بالشركة.
صرحت الشركة أنها كانت واحدة من مئات الشركات المتأثرة بالهجوم على سلسلة التوريد، والذي كشف بيانات Salesforce.Salesloft Drift، لكنها أكدت أن الحادث اقتصر على نظام Salesforce CRM الخاص بها، ولم يؤثر في منتجاتها أو أنظمتها أو خدماتها.
ما تم تسريبه:
معلومات جهات الاتصال التجارية ومعلومات الحسابات ذات الصلة.
سجلات حسابات المبيعات الداخلية.
بيانات أساسية لحالات الدعم احتوت فقط على معلومات الاتصال والتعليقات النصية، وليس على ملفات الدعم الفني أو المرفقات.
أهداف المهاجمين:
البحث في البيانات المستخرجة من عناصر Salesforce عن بيانات حساسة مثل:
مفاتيح وصول AWS (AKIA).
رموز Snowflake.
بيانات تسجيل الدخول إلى VPN وSSO.
كلمات مرور أو أكواد سرية أو مفاتيح.
يُعتقد أن الهدف هو التمدد إلى منصات سحابية أخرى وسرقة المزيد من البيانات أو استخدامها في هجمات ابتزاز.
أساليب الهجوم:
استخدام أدوات أوتوماتيكية مبرمجة بلغة Python لاستخراج البيانات.
حذف السجلات لإخفاء الأدلة.
استخدام شبكة Tor لإخفاء مصدر الهجمات.
إجراءات الشركة:
إلغاء الرموز المتأثرة associated token، تدوير بيانات الاعتماد credentials.
تعطيل تكامل تطبيق Drift من بيئة Salesforce، بينما يستمر التحقيق في كيفية سرقة رموز OAuth.
بدأت بإبلاغ العملاء المتأثرين بشكل مباشر.
توصيات Palo Alto Networks للعملاء:
فحص سجلات Salesforce ومزود الهوية والشبكة بحثًا عن أي اختراق محتمل.
مراجعة جميع تكاملات تطبيق Drift بحثًا عن أي اتصالات مشبوهة.
إلغاء وتدوير مفاتيح المصادقة وبيانات الاعتماد.
استخدام أدوات آلية، مثل Trufflehog و Gitleaks لفحص مستودعات الأكواد بحثًا عن مفاتيح أو رموز مصادقة مدمجة.
في حال التأكد من استخراج البيانات، مراجعة البيانات المسربة للتأكد من عدم وجود بيانات اعتماد حساسة.
النطاق الأوسع للهجوم:
منذ بداية العام، تعرضت Salesforce لهجمات سرقة بيانات شنها أعضاء مرتبطون بمجموعة ShinyHunters للابتزاز.
الهجوم جزء من سلسلة اختراقات لسلسلة الإمداد استهدفت شركات كبرى مثل Google، Cisco، Adidas، Qantas، Farmers Insurance، Allianz Life، بالإضافة إلى شركات تابعة لـ LVMH مثل Louis Vuitton وDior وTiffany & Co.
يعتقد أن هجمات سلسلة التوريد على Salesloft تنطوي على نفس الجهات الفاعلة، لكن Google تنفي وجود دليل قاطع على وجود صلة بينها.
المصدر
مخاطر وثغرات أمنية تخص البرمجيات الأكثر استخدامًا وشيوعًا
أصلحت شركة Samsung ثغرة حرجة استُغلت في هجمات تستهدف هواتف Android
12 سبتمبر 2025
تحديثات Samsung الشهرية
أصدرت Samsung التحديثات الأمنية الشهرية لنظام أندرويد، وشملت تصحيحًا لثغرة أمنية استُغلت بشكل فعَّال قبل اكتشافها في هجمات يوم الصفر zero-day attacks.
تفاصيل الثغرة
رقم تعريف الثغرة: CVE-2025-21043
مستوى الخطورة: مرتفع (CVSS score: 8.8)
نوع الثغرة: كتابة خارج النطاق المسموح به (Out-of-Bounds Write) في مكتبة libimagecodec.quram.so.
التهديد: يمكِّن المهاجمين عن بُعد من تنفيذ تعليمات برمجية عشوائية.
المكتبة المتأثرة: مكتبة libimagecodec.quram.so هي مكتبة تحليل صور مغلقة المصدر مطورة من قبل Quramsoft مسؤولة عن تحليل ومعالجة ملفات الصور المختلفة.
نطاق التأثير:
الإصدارات المتأثرة: أجهزة Samsung التي تعمل بإصدارات أندرويد 13 و14 و15 و16.
الكشف: تم الإبلاغ عن الثغرة للشركة بشكل خاص في 13 أغسطس 2025.
الاستغلال في الهجمات:
أكدت Samsung صراحة استغلالًا فعليًّا للثغرة، لكنها لم تذكر تفاصيل الهجمات أو الجهة المُحتملة وراءها.
السياق الأوسع:
يأتي هذا الإعلان بعد وقت قصير من قيام جوجل بالإعلان عن إصلاح ثغرتين أمنيتين أخريين في نظام Android (CVE-2025-38352 و CVE-2025-48543) تم استغلالهما أيضًا في هجمات مستهدفة.
المصدر
أصلح تطبيق WhatsApp ثغرة أمنية استُخدمت في هجمات النقر الصفري (Zero-Click Attacks)
01 سبتمبر 2025
إصلاح الثغرة:
أصدر تطبيق WhatsApp تحديثًا لإصلاح ثغرة أمنية استُغلت بالتزامن مع ثغرة أمنية في شركة Apple لاستهداف مستخدمين محددين واختراق أجهزتهم.
إشعار WhatsApp للمستخدمين المستهدفين:
احتمال وجود رسالة خبيثة قد تكون استغلت ثغرات نظام التشغيل لاختراق الجهاز والبيانات، مما قد يؤدي إلى اختراق الجهاز والبيانات التي يحتويها.
أوصت الشركة بإعادة ضبط المصنع كإجراء احترازي وتحديث الأجهزة إلى أحدث إصدار من نظام التشغيل، والتأكد من تحديث التطبيق.
نوع الهجوم:
وفقًا لمختبر الأمن التابع لمنظمة العفو الدولية، كانت هذه الثغرة جزءًا من هجوم نقرة صفرية استهدف مستخدمي iPhone وAndroid.
يُتيح هجوم النقرة الصفرية لمجرمي الإنترنت اختراق الأجهزة أو التطبيقات دون الحاجة إلى النقر أو الاستجابة لأي شيء.
يمكن أن تصل تهديدات النقرة الصفرية إلى الجهاز لمجرد تلقي التطبيق رسالة أو إشعارًا مُصممًا لاستغلال ثغرة خفية.
التفاصيل:
يتطلب هجوم النقرة الصفرية ثغرتين أمنيتين.
بالنسبة لمستخدمي macOS and iOS:
الثغرة CVE-2025-43300: تقع في إطار Image I/O الخاص بنظام التشغيل iOS وmacOS.
السبب التقني: كتابة خارج النطاق المسموح به (out-of-bounds write) تسمح بالقراءة/الكتابة خارج النطاق المسموح به.
كيفية الاستغلال: يصنع المهاجم صورة خبيثة؛ عند معالجتها يسبب ذلك تلفًا بالذاكرة.
العواقب المحتملة: تعطيل عمليات مهمة على الجهاز أو تنفيذ تعليمات برمجية خبيثة.
الإجراء الذي اتخذته Apple: شدّدت فحوص الحدود (bounds checking) وسدّت الثغرة في تحديث أمان.
بالنسبة لمستخدمي WhatsApp:
الثغرة CVE-2025-55177: في WhatsApp.
السبب: تفويض غير مكتمل لرسائل مزامنة الأجهزة المرتبطة، في إصدارات WhatsApp القديمة.
الإصدارات المتأثرة: WhatsApp لنظام iOS قبل الإصدارة v2.25.21.73، WhatsApp Business للأعمال لنظام iOS قبل الإصدارة v2.25.21.78، وWhatsApp لنظام Mac قبل الإصدارة v2.25.21.78.
كيفية الاستغلال: قد يسمح لمستخدم غير مصرح له أن يرسل رسالة مزامنة تؤدي إلى معالجة محتوى من رابط (URL) عشوائي على جهاز الضحية.
العواقب المحتملة: تنفيذ محتوى خبيث أو فتح مسارات استغلال إضافية على الجهاز دون تفاعل المستخدم.
كيف تم الاستغلال؟
تم الجمع بين الثغرتين؛ حيث أرسل المهاجمون رسالة تحتوي على صورة خبيثة مصممة خصيصًا. بمجرد وصول الرسالة إلى الجهاز (حتى دون فتحها)، استغلت ثغرة Apple لمعالجة الصورة، مما تسبب في تلف بالذاكرة (Memory Corruption)، ثم استغلت ثغرة WhatsApp لتنفيذ تعليمات برمجية خبيثة والاستيلاء على الجهاز.
المهاجمون ربطوا صورة خبيثة تستغل ثغرة Apple مع ثغرة مزامنة لـ WhatsApp لتمكين الاختراق دون الحاجة إلى تفاعل المستخدم.
وضع أجهزة Android
ذُكر أن بعض مستخدمي Android كانوا من بين الأهداف في حملات تجسّس متقدمة، لكن أخطر هجمات الـ zero-click تنطبق على أجهزة آبل فقط.
في Android، ثغرة WhatsApp قد تسمح بهجمات، لكنها لم تستغل بنفس سلسلة الهجوم المترابطة كما في Apple.
التوصيات:
تحديث تطبيق WhatsApp باستمرار.
تفعيل ميزات الأمان المتقدمة مثل Google Advanced Protection.
استخدام برامج حماية على الأجهزة.
المصدر
أصلحت Adobe ثغرة حرجة باسم SessionReaper في منصة التجارة الإلكترونية Magento
09 سبتمبر 2025
الثغرة
حذرت شركة Adobe من ثغرة أمنية حرجة باسم SessionReaper (CVE-2025-54236) في Adobe Commerce وMagento Open Source .
الخطورة:
ثغرة أمنية حرجة.
يمكن استغلالها بدون مصادقة عبر واجهة برمجة تطبيقات Commerce REST الخاصة بالمنصة للسيطرة على حسابات العملاء أو تجاوز ضوابط الأمان.
الباحثون وصفوها كواحدة من أخطر الثغرات في تاريخ المنتج.
الإصلاح والتوقيت
أصدرت شركة Adobe تصحيحًا أمنيًّا، وأخبرت عملاء محددين في 4 سبتمبر بأن التحديث الطارئ سيصدر في 9 سبتمبر 2025.
مستخدمو Adobe Commerce on Cloud حصلوا على حماية مسبقة من خلال قاعدة جدار حماية تطبيقات الويب (WAF) التي تُطبّقها Adobe كإجراء وسيط.
صرحت شركة Adobe أنها لا تعلم بأي نشاط استغلالي نشط. كما أشار تقرير Sansec إلى أن الباحثين لم يرصدوا أي استغلال نشط لـ SessionReaper.
تسريب التصحيح المؤقت
تسرّب تصحيح مؤقت أولي (hotfix)، ما قد يمنح المهاجمين فرصة لبناء استغلال قبل تطبيق التصحيح على نطاق واسع.
سبب الضعف وشروط الاستغلال
يبدو أن الاستغلال يعتمد على تخزين بيانات الجلسات (session data) على نظام الملفات — وهو الإعداد الافتراضي لمعظم المتاجر.
توصية عاجلة للمسؤولين
يوصى بشدة باختبار ونشر التصحيح فورًا.
في حال عدم القيام بذلك، ستظل المتاجر عرضة لهذه المشكلة الأمنية، ولن يكون لدى Adobe سوى وسائل محدودة للمساعدة على إصلاحها.
تقييم الباحثين والسياق التاريخي
تطبيق التصحيح يمكن أن يوقِف بعض وظائف داخلية في Magento وقد يتسبب في تعطل كود مخصّص أو تكاملات خارجية، لذلك مطلوب اختبار قبل النشر في بيئات الإنتاج.
يتوقع باحثو Sansec:
استغلال ثغرة CVE-2025-54236 عبر أتمتة واسعة النطاق.
يصفونها بأنها من أخطر ثغرات Magento في تاريخ المنصة.
تمكّنوا من إعادة إنتاج ثغرة SessionReaper، لكن لم يكشفوا عن التفاصيل التقنية، مكتفين بالقول إن “الثغرة الأمنية تتبع نمطًا مألوفًا من هجوم CosmicSting العام الماضي”.
المصدر
أصلحت شركة Cisco ثغرات أمنية عالية الخطورة في نظام IOS XR تتيح تجاوز الصورة وهجمات رفض الخدمة (DoS)
12 سبتمبر 2025
عالجت Cisco عدة ثغرات عالية الخطورة في نظام التشغيل IOS XR والتي قد تسمح بتجاوز التحقق من صورة الـ ISO وتؤدي إلى حالات رفض الخدمة (DoS). وقد نُشِر ذلك كجزء من نشرة Cisco النصف سنوية لـ Software Security Advisory Bundled بتاريخ 10 سبتمبر 2025.
أبرز الثغرات التي تم إصلاحها
فيما يلي الثغرات التي عالجتها الشركة:
أخطر هذه الثغرات CVE-2025-20340:
التقييم: عالي الخطورة -CVSS 7.4
المشكلة: ثغرة في بروتوكول ARP تؤدي إلى رفض الخدمة (Denial of Service – DoS).
كيفية الاستغلال: مهاجم غير مصرح له وموجود على نفس الشبكة المحلية يمكنه إرسال كمية هائلة من حركة المرور إلى واجهة الإدارة للجهاز، مما يُثقل كاهل قدرات معالجة ARP الخاصة به؛ مما يؤدي إلى حالة رفض الخدمة.
التأثير: تدهور أداء الجهاز، فقدان الاتصال بواجهة الإدارة، وتوقف النظام كليًّا.
ثغرة عالية الخطورة: CVE-2025-20248
التقييم: عالي الخطورة – CVSS 6.0
المشكلة: ثغرة تسمح بتجاوز التحقق من توقيع صورة النظام (Image Verification Bypass).
كيفية الاستغلال: مهاجم لديه بالفعل أعلى صلاحيات (root-system privileges) على الجهاز يمكنه تجاوز عمليات التحقق من توقيع الصورة، وإدراج ملفات غير موقعة في صورة ISO وتثبيتها على الجهاز.
التأثير: تمكين المهاجم من تحميل وتشغيل ملفات غير موثوقة أو ضارة على الجهاز.
ثغرة متوسطة الخطورة: CVE-2025-20159
التقييم: متوسط الخطورة – CVSS 5.3
المشكلة: ثغرة تسمح بتجاوز قوائم التحكم بالوصول (ACL Bypass) على واجهة الإدارة.
التأثير: يمكن لمهاجم بعيد تجاوز قواعد الأمان للوصول إلى خدمات الإدارة مثل SSH وNetConf وgRPC.
الوضع الحالي:
أفادت Cisco أنها ليست على علم بأي هجمات فعلية تستغل هذه الثغرات.
التوصية: يُنصح بشدة مسؤولو الشبكات الذين يديرون أجهزة تعمل بنظام Cisco IOS XR بالتأكد من تطبيق آخر التحديثات الأمنية الصادرة من سيسكو فورًا لحماية أجهزتهم من الاستغلال المحتمل، خاصة الثغرتين ذاتي الخطورة العالية التي يمكن أن تعطل الخدمة أو compromise اختراق أمان النظام.
المصدر
مؤشرات وإحصائيات أمنية
تقرير المخاطر السيبرانية لعام 2025 من *TrendMicro –
القطاعات ذات أعلى متوسط لمؤشر مخاطر الأمن السيبراني (Cyber Risk Index – CRI)
خلال الفترة من فبراير إلى ديسمبر 2024قطاع التعليم
سجّل أعلى متوسط لمؤشر المخاطر السيبرانية (CRI) منذ بداية العام وحتى نهايته.
أبرز المخاطر:
انقطاع/تعطيل الخدمات التعليمية
اختراق/تسريب البيانات
سرقة الملكية الفكرية
الإضرار بالسمعة
أسباب ارتفاع المخاطر:
الأنظمة القديمة: الاعتماد على أنظمة قديمة (أجهزة وبرمجيات وتطبيقات غير محدثة).
اتساع نطاق الهجوم: الاعتماد المتزايد على التعليم عن بُعد؛ مما يوسع سطح الهجوم.
الخطأ البشري: زيادة أخطاء المستخدمين (مثل سوء إعدادات الأمان أو الوقوع ضحية لهجمات التصيّد الإلكتروني).
محدودية الموارد: خصوصًا في المؤسسات التعليمية الحكومية، مما يؤثر في قدرتها على حماية الأنظمة والشبكات.
قطاعا الزراعة والبناء
يواجهان قابلية مرتفعة للهجمات مقارنة بقطاعات أخرى.
المخاطر:
تعطيل العمليات.
تأثيرات تمتد إلى سلاسل التوريد العالمية.
أسباب الضعف:
الأنظمة القديمة: الاعتماد على أنظمة قديمة غير مؤمّنة بالشكل الكافي.
تزايد الأجهزة الذكية: التوسع في استخدام الآلات المؤتمتة وأجهزة إنترنت الأشياء (IoT) يعزز الكفاءة، لكنه يضيف ثغرات جديدة.
مخاطر الطرف الثالث: التعامل مع مزوّدي خدمات أو أطراف ثالثة بقدرات أمنية ضعيفة يزيد المخاطر.
قطاعات أخرى
قطاعا الطاقة والنقل
تقع ضمن سلاسل التوريد الحرجة.
تحتاج إلى اعتماد نهج أكثر استباقية لإدارة المخاطر، لتقليل التعرض للهجمات وتعزيز المرونة الأمنية أمام التهديدات.
TrendMicro* ، الشركة العالمية الرائدة في مجال الأمن السيبراني، تساهم في جعل العالم مكانًا آمنًا لتبادل المعلومات الرقمية. بفضل عقود من الخبرة الأمنية، وأبحاث التهديدات العالمية، والابتكار المستمر، تحمي منصة تريند للأمن السيبراني، المدعومة بالذكاء الاصطناعي، أكثر من 500,000 مؤسسة وملايين الأفراد عبر السحابات والشبكات والأجهزة ونقاط النهاية.
المصدر
معلومات للتوعية بأمن المعلومات
مفاتيح المرور – طريقة أبسط وأكثر أمانًا لتسجيل الدخول
كلمة المرور القوية غير كافية
كانت سارة تعتبر نفسها خبيرة في التكنولوجيا، فهي تعمل في مجال التسويق، وتستخدم أدوات تصميم عديدة عبر الإنترنت، وتحمي حساباتها بكلمات مرور طويلة وقوية.
في صباح أحد الأيام، وبينما كانت تتفقد رسائلها النصية، وصلتها رسالة عاجلة من البنك: “لاحظنا نشاطًا مشبوهًا في حسابك”. “اضغط هنا فورًا لتسجيل الدخول ومراجعة حسابك.”
شعرت بالقلق، فضغطت على الرابط.، بدا الموقع مطابقًا تمامًا لموقع البنك: نفس الشعار، نفس التصميم.
أدخلت بياناتها، لكن النظام أظهر خطأ.
أعادت المحاولة مرات عدة بلا جدوى.
في تلك اللحظة، ظهرت لها نافذة تذكير باجتماع عمل متأخر. تركت الأمر جانبًا لتلحق بالاجتماع.
بعد ساعات، جاءها إشعار: “تم سحب 2,000 دولار من حسابك المصرفي” شعرت بحزن شديد.
اتصلت بالبنك فورًا، لتكتشف أن الرسالة كانت خدعة من نوع الاحتيال عبر الرسائل النصية القصيرة (Smishing)، شبيهة بهجمات التصيد الإلكتروني عبر البريد، لكن باستخدام الرسائل النصية. الموقع كان مزيفًا ومصممًا لسرقة بيانات تسجيل الدخول.
الأسوأ من ذلك؟ سارة كانت تستخدم نفس كلمة السر “القوية” نفسها في عدة حسابات أخرى.
بمجرد أن حصل المهاجم الإلكتروني على اسم المستخدم وكلمة المرور الخاصين بها، استخدم نفس اسم المستخدم وكلمة المرور لمحاولة تسجيل الدخول إلى حساباتها الأخرى.
فجأةً، أصبحت خدمات التسوق والبث المباشر، وحتى خدمات البريد الإلكتروني، في خطر.
وداعًا لكلمات المرور: أهلاً بمفاتيح المرور Passkey
كلمات المرور حتى لو كانت قوية، يمكن سرقتها عبر التصيّد.
كثير من الناس يعيدون استخدام كلمات المرور بين عدة حسابات.
كلمات المرور يصعب تذكرها وإدارتها بشكل آمن.
هنا تظهر مفاتيح المرور (Passkeys) كحل أبسط وأسرع وأكثر أمانًا.
ما مفاتيح المرور؟
مفتاح المرور عبارة عن رمز سري (من الناحية التقنية، زوج مفاتيح تشفير)، يُنشئه جهازك، جزء منه يُخزن محليًّا لديك، والآخر عند الموقع.
كل موقع يحصل على مفتاح فريد خاص به لا يمكن إعادة استخدامه في مكان آخر.
عند تسجيل الدخول، لن تحتاج إلى كلمة سر، بل ستُطلب منك المصادقة باستخدام بياناتك البيومترية مثل البصمة أو التعرف على الوجه.
بياناتك البيومترية لا تُرسل أبدًا عبر الإنترنت، تبقى محلية على جهازك.
مزايا مفاتيح المرور
لن يتمكن المحتالون من سرقة مفتاح المرور؛ لأنه مرتبط بالموقع الأصلي فقط، ولن يعمل على المواقع المزيفة.
يتخلص من عبء تذكر كلمات مرور قوية وفريدة لكل موقع.
بياناتك البيومترية آمنة: لا تتم مشاركة بصمتك أو صورة وجهك مع أي موقع ويب أبدًا، بل تبقى مخزنة محليًّا على جهازك فقط.
ورغم أن التقنية جديدة نسبيًا، وقد تُطبق بشكل مختلف من موقع لآخر، فإنها تمثل خطوة كبيرة نحو مستقبل أكثر أمانًا وسهولة في تسجيل الدخول، وتمنع حتى أخطر المهاجمين من الوصول إلى حساباتك.
المصدر
فيديوهات للتوعية بأمن المعلومات
حماية الهاتف المحمول
أضغط لمشاهدة الفيديو
للمزيد تابعونا على قناة CyberTech IDSC – مركز المعلومات ودعم اتخاذ القرار
تعريفات ومصطلحات أمن المعلومات
Cookies:
هي ملفات صغيرة من المعلومات يُنشئها خادم الويب، ويرسلها إلى متصفح الويب. تخزن متصفحات الويب ملفات تعريف الارتباط التي تتلقاها لفترة زمنية محددة مسبقًا، أو طوال مدة جلسة المستخدم على الموقع. وتُرفق هذه الملفات بأي طلبات مستقبلية يقدمها المستخدم لخادم الويب. (المصدر)COPPA (Children’s Online Privacy Protection Act):
يفرض قانون حماية خصوصية الأطفال على الإنترنت (COPPA) متطلبات معينة على مشغلي مواقع الويب أو الخدمات عبر الإنترنت الموجهة للأطفال دون سن 13 عامًا، وعلى مشغلي مواقع الويب أو الخدمات عبر الإنترنت الأخرى الذين لديهم معرفة فعلية بأنهم يجمعون معلومات شخصية عبر الإنترنت من طفل دون سن 13 عامًا. (المصدر)FTC (Federal Trade Commission):
تطبق لجنة التجارة الفيدرالية مجموعةً متنوعةً من قوانين مكافحة الاحتكار وحماية المستهلك، تنطبق على جميع مجالات التجارة تقريبًا، مع بعض الاستثناءات المتعلقة بالبنوك، وشركات التأمين، والمنظمات غير الربحية، وشركات النقل والاتصالات، وشركات الطيران، وبعض الكيانات الأخرى. (المصدر)Phishing:
يشير مصطلح “التصيد الاحتيالي” إلى محاولة سرقة معلومات حساسة، عادةً ما تكون أسماء مستخدمين أو كلمات مرور أو أرقام بطاقات ائتمان أو معلومات حسابات مصرفية أو بيانات مهمة أخرى، بهدف استغلالها أو بيعها. بالتظاهر بأنه مصدر موثوق وتقديم طلب مُغرٍ، يستدرج المهاجم الضحية لخداعه، كما يفعل الصيادون باستخدام الطُعم لصيد السمك. (المصدر)CallBack phishing:
هو أسلوب تصيد موجَّه يستخدمه مهاجمو برامج الفدية كوسيلة وصول أولية. (المصدر)iCloud Calendar:
أداة من Apple تُساعد على تنظيم المواعيد والاجتماعات، وتحسين التواصل، وتقسيم المهام وتتصل الأداة بأجهزة المستخدم الأخرى، مما يسمح بنقل جميع الأحداث والمهام مباشرةً إلى التقويم الإلكتروني. (المصدر)Sender Policy Framework (SPF):
يُستخدم إطار سياسة المُرسِل (SPF) للتحقق من هوية مُرسِل البريد الإلكتروني. بوجود سجل SPF، يُمكن لمزودي خدمة الإنترنت التحقق من أن خادم البريد مُصرَّح له بإرسال بريد إلكتروني لنطاق مُحدد. سجل SPF هو سجل DNS TXT يحتوي على قائمة بعناوين IP المسموح لها بإرسال بريد إلكتروني نيابةً عن نطاقك. (المصدر)DKIM (DomainKeys Identified Mail):
هو اختصار لعبارة DomainKeys Identified Mail (البريد المُعرَّف بمفاتيح النطاق)، ويُستخدم لمصادقة البريد الإلكتروني المُرسَل. ومثل SPF، يُعد DKIM معيارًا مفتوحًا لمصادقة البريد الإلكتروني يُستخدم التكامل مع DMARC. يوجد سجل DKIM في نظام أسماء النطاقات (DNS)، ولكنه أكثر تعقيدًا بعض الشيء من SPF. تكمن ميزة DKIM في قدرته على تحمُّل إعادة التوجيه، مما يجعله أفضل من SPF ويُشكِّل أساسًا لتأمين بريدك الإلكتروني. (المصدر)DMARC (Domain-based Message Authentication, Reporting and Conformance):
هو معيار تقني لمصادقة الرسائل والإبلاغ عنها والتوافق معها قائم على النطاق، وهو يساعد على حماية مرسلي ومستقبلي البريد الإلكتروني من التهديدات المتقدمة التي قد تُشكل مصدرًا لاختراق بيانات البريد الإلكتروني. يوفر أمان البريد الإلكتروني DMARC وسيلةً لمالكي النطاقات لتحديد سياسات المصادقة الخاصة بهم وتحديد الإجراءات الواجب اتخاذها عند فشل مصادقة البريد الإلكتروني. كما يوفر DMARC وسيلةً للمستلمين للإبلاغ عن البريد الإلكتروني الذي يفشل في المصادقة. (المصدر)Microsoft 365:
منصة إنتاجية سحابية. توفر لك الاشتراك في Microsoft 365 لكل مما يلي:
أحدث تطبيقات الإنتاجية، مثل Microsoft Teams, Word, Excel, PowerPoint, Outlook, OneDrive، وغيرها الكثير.
ميزات مدعومة بالذكاء الاصطناعي لمساعدتك على تحسين إنتاجيتك الشخصية، مع Copilot في Word, Excel, PowerPoint, Outlook, and OneNote.
إمكانية التثبيت على أجهزة الكمبيوتر، وأجهزة Mac، والأجهزة اللوحية tablets، والهواتف.
سعة تخزين سحابية قدرها 1 تيرابايت على OneDrive.
تحديثات وترقيات للميزات غير متوافرة في أي مكان آخر. (المصدر)
Sender Rewriting Scheme (SRS):
أُضيفت وظيفة مخطط إعادة كتابة المُرسِل (SRS) إلى Microsoft 365 لحل مشكلة عدم توافق إعادة التوجيه التلقائي مع بروتوكول SPF. تُعيد ميزة SRS كتابة عنوان المرسل P1 (المعروف أيضًا باسم عنوان المرسل من المغلف) لجميع الرسائل المُطبقة المُرسلة خارجيًا من Microsoft 365. (المصدر)Return-Path:
هو عنوان البريد الإلكتروني المُخصص لإرسال الرسائل المرتدة وملاحظات البريد الإلكتروني الأخرى. لذا، إذا تعذّر تسليم رسالة بريد إلكتروني صادرة، فستصل إلى مسار الإرجاع، المُحدَّد بترويسة مسار الإرجاع في رسالة البريد الإلكتروني، وهو غير مرئي للجهات الأخرى. (المصدر)كفالة (Bail):
إجراء يُطلق بموجبه القاضي أو القاضية سراح من أُلقي القبض عليه أو سُجن، بعد استلام ضمان لضمان مثول السجين المُفرج عنه أمام المحكمة لاحقًا لمواصلة الإجراءات. (المصدر)OAuth:
هو معيار تكنولوجي يسمح لك بتفويض تطبيق أو خدمة لتسجيل الدخول إلى تطبيق أو خدمة أخرى دون الكشف عن معلوماتك الشخصية، مثل كلمات المرور. (المصدر)Salesforce:
تساعدك Salesforce على مواكبة توقعات عملائك المتغيرة من خلال أدوات البيانات، والذكاء الاصطناعي الموثوق، والتطبيقات الرائدة في فئتها للمبيعات والخدمات والتسويق والتجارة وتكنولوجيا المعلومات. (المصدر)الهجوم على سلسلة التوريد (Supply Chain Attack):
يُعد هجوم سلسلة التوريد وسيلةً فعّالة للغاية لاختراق الأمن عن طريق إدخال مكتبات أو مكونات ضارة في منتج ما دون علم المطور أو المُصنّع أو العميل النهائي. إنها وسيلة فعّالة لسرقة بيانات حساسة، أو الوصول إلى بيئات شديدة الحساسية، أو التحكم عن بُعد في أنظمة مُحددة. (المصدر)AWS (Amazon Web Services):
هي منصة حوسبة سحابية شاملة ومتطورة تقدمها أمازون. تتضمن مزيجًا من خدمات البنية التحتية كخدمة (IaaS)، والمنصة كخدمة (PaaS)، والبرمجيات كخدمة (SaaS) مُجمّعة. تقدم AWS أدوات مثل قوة الحوسبة، وتخزين قواعد البيانات، وخدمات توصيل المحتوى. (المصدر)Snowflake:
هي نظام SaaS (برمجيات كخدمة) مُدار بالكامل، يُوفر منصةً واحدةً لتخزين البيانات، وهندسة البيانات، وعلوم البيانات، وتطوير تطبيقات البيانات، والمشاركة والاستهلاك الآمن للبيانات الفورية/المشتركة. تتميز Snowflake بميزاتٍ جاهزة، مثل فصل التخزين عن الحوسبة، والحوسبة القابلة للتطوير الفوري، ومشاركة البيانات، واستنساخها، ودعم أدوات الجهات الخارجية، لتلبية الاحتياجات المُلحة للشركات الناشئة. (المصدر)Tor:
هو في الأساس شبكة تُخفي حركة المرور على الإنترنت. وهو مشروع مفتوح المصدر يديره متطوعون، يُوفر إخفاءً للهوية للمستخدمين الذين يصلون إلى مواقع الويب والخوادم عبر هذه الشبكة. غالبًا ما يستخدم الصحفيون وغيرهم من المستخدمين هذا المتصفح بشكل قانوني لحماية هوياتهم، على سبيل المثال أثناء التحقيق في نزاع قانوني أو البحث عن منافسين. (المصدر)Vishing:
اختصار للتصيد الصوتي، هو مكالمات هاتفية أو رسائل صوتية احتيالية مصممة لخداع الضحايا ودفعهم لتقديم معلومات حساسة، مثل بيانات تسجيل الدخول أو أرقام بطاقات الائتمان أو تفاصيل البنوك. (المصدر)Gitleaks:
أداة مجانية ومفتوحة المصدر، طورتها GitHub لمساعدة المطورين على اكتشاف أسرار مثل مفاتيح API وكلمات المرور في مشاريعهم قبل إطلاقها. ميزتها الرئيسة هي قدرتها على فحص أحدث الشفرات البرمجية، وكذلك السجل الكامل لمستودع Git من أجل تحديد أي بيانات حساسة تم الالتزام بها سابقًا. (المصدر)TruffleHog:
هي أداة أمان تطبيقات تُركز على اكتشاف الأسرار المبرمجة المكتشفة. من خلال الصيانة المستمرة لقاموس التعابير العادية لأنماط وسلاسل مُحددة في الكود المصدري المشترك، تُتيح للمطورين معرفة ما إذا كان هناك سرّ مُكشوف قبل نشر الكود في بيئة الإنتاج. (المصدر)ثغرة صفر يوم (Zero-day) :
مصطلح عام يصف الثغرات الأمنية المكتشفة حديثًا والتي يمكن للمخترقين استغلالها لمهاجمة الأنظمة. يشير هذا المصطلح إلى أن البائع أو المطور لم يعلم بوجود الخلل إلا مؤخرًا، مما يعني أن لديه “فترة سماح” لإصلاحه. يحدث هجوم اليوم صفر عندما يستغل المخترقون الخلل قبل أن تتاح للمطورين فرصة معالجته. (المصدر)CVE (Common Vulnerabilities and Exposures):
تشير الثغرات الأمنية والتعرضات الشائعة (CVE) بشكل عام إلى قائمة CVE، وهي عبارة عن كتالوج معلن للعامة لثغرات أمن المعلومات التي أنشأتها وصانتها شركة MITRE. (المصدر)Out-of-Bounds Write:
تحدث ثغرات الكتابة خارج الحدود، المعروفة عادةً بهجمات تجاوز سعة المخزن المؤقت، عندما تكتب البرامج بيانات تتجاوز الحدود المخصصة لمخازن الذاكرة المؤقتة. تُعد هذه الثغرات خطيرة بشكل خاص؛ لأنها قد تُلغي بيانات البرنامج المهمة، أو عناوين إرجاع الدوال، أو أي تعليمات برمجية قابلة للتنفيذ، مما قد يؤدي إلى تنفيذ تعليمات برمجية عشوائية واختراق النظام بالكامل. (المصدر)Common Vulnerability Scoring System (CVSS):
هو إطار عمل واسع الاستخدام لتصنيف وتقييم ثغرات البرامج من خلال هذا الإطار المفتوح، يمكن للمؤسسات حساب درجة CVSS، وهي درجة رقمية تُمثل خطورة الثغرة الأمنية. تُمثل خصائص الثغرة الأمنية التي ساهمت في تحديد درجة CVSS في سلسلة نصية تُعرف باسم سلسلة متجهات CVSS. (المصدر)مكتبة Image I/O:
يوفر إطار عمل Image I/O أنواع بيانات غير شفافة لقراءة بيانات الصور من مصدر (CGImageSourceRef) وكتابتها إلى وجهة (CGImageDestinationRef). يدعم الإطار مجموعة واسعة من تنسيقات الصور، بما في ذلك تنسيقات الويب القياسية، والصور عالية النطاق الديناميكي، وبيانات الكاميرا الخام. كما يتميز بالعديد من الميزات الأخرى. (المصدر)Adobe Commerce:
في عالم منصات التجارة الإلكترونية، يبرز Adobe Commerce كأحد أقوى الحلول وأكثرها مرونةً المتاحة اليوم. يُعرف سابقًا باسم Magento Commerce، وهو منصة غنية بالميزات تُمكّن الشركات من إنشاء واجهات متاجر رقمية وتجارب تسوق إلكترونية سلسة وقابلة للتطوير والتخصيص. سواءً أكانت شركة متوسطة الحجم أم شركة عالمية، يُقدم Adobe Commerce الأدوات اللازمة للنجاح في سوق رقمية تنافسية. (المصدر)Magento Open Source:
هي منصة التجارة الإلكترونية مفتوحة المصدر التي بُني عليها برنامج Adobe Commerce. أُطلقت عام 2008، واكتسبت شهرة واسعة بفضل مرونتها وسهولة استخدامها من قِبل المطورين ودعمها الواسع من قِبل مجتمع المطورين. (المصدر)Commerce REST API:
تتيح لك واجهات برمجة تطبيقات الويب الخاصة بـ Commerce دمج برامج خارجية وإنشاء تطبيقات بدون واجهة مستخدم لـ Adobe Commerce. تنقسم وثائق واجهة برمجة تطبيقات الويب إلى ثلاثة أدلة: REST، وGraphQL، وGetting Started. (المصدر)WAF:
يساعد جدار حماية تطبيقات الويب (WAF) على حماية تطبيقات الويب من خلال تصفية ومراقبة حركة مرور HTTP بين تطبيق الويب والإنترنت. ويحمي عادةً تطبيقات الويب من هجمات مثل التزوير عبر المواقع، وهجمات XSS، وإدراج الملفات، وحقن SQL، وغيرها. (المصدر)Hotfix:
هو تحديث برمجي يُصلح خللًا أو ثغرة أمنية في النظام. بخلاف تحديثات البرامج العادية التي قد تتضمن ميزات أو تحسينات جديدة، يُصمم الإصلاح العاجل لإصلاح مشكلة محددة بسرعة. (المصدر)Cisco IOS XR:
هو نظام تشغيل معياري، موزع، وعالي التوفر، يُستخدم بشكل أساسي في أجهزة توجيه الشبكات عالية الأداء من Cisco، وخاصةً في بيئات مزودي الخدمة. صُمم للتطبيقات المتطلبة مثل توجيه النواة، وتجميع الخدمات، والربط بين مراكز البيانات. يُركز IOS XR على قابلية التوسع، وتحمل الأخطاء، وكفاءة التشغيل من خلال ميزات مثل مكونات البرامج المعيارية، وإمكانية إعادة تشغيل العمليات، وواجهة سطر أوامر (CLI) قوية وواجهات برمجية. (المصدر)ARP (Address Resolution Protocol):
بروتوكول تحليل العناوين هو بروتوكول من الطبقة الثانية يُستخدم لربط عناوين MAC بعناوين IP. جميع الأجهزة المضيفة على الشبكة تُحدد موقعها حسب عنوان IP الخاص بها، ولكن بطاقات الشبكة (NIC) لا تملك عناوين IP، بل لديها عناوين MAC. بروتوكول ARP هو البروتوكول المستخدم لربط عنوان IP بعنوان MAC. (المصدر)Software Image Verification Bypass:
ثغرة أمنية في مُحمِّل إقلاع برنامج Cisco NX-OS قد تسمح لمهاجم غير مُصادق لديه وصول فعلي إلى الجهاز المُتأثر، أو لمهاجم محلي مُصادق عليه لديه بيانات اعتماد إدارية، بتجاوز التحقق من توقيع صورة NX-OS. تعود هذه الثغرة الأمنية إلى إعدادات مُحمِّل إقلاع غير آمنة. يمكن للمهاجم استغلال هذه الثغرة بتنفيذ سلسلة من أوامر مُحمِّل الإقلاع. في حال نجاح الاستغلال، قد يسمح للمهاجم بتجاوز التحقق من توقيع صورة NX-OS وتحميل برنامج غير مُصادق عليه. (CVE-2024-20397) (المصدر)root:
يتمتع الحساب بإمكانية الوصول غير المحدودة تقريبًا إلى جميع البرامج والملفات والموارد الموجودة على النظام. (المصدر).SSH:
هو طريقة لإرسال الأوامر بأمان إلى جهاز كمبيوتر عبر شبكة غير آمنة. يستخدم SSH التشفير لمصادقة وتشفير الاتصالات بين الأجهزة. كما يتيح SSH إمكانية الاتصال عبر الأنفاق، أو إعادة توجيه المنافذ، حيث تتمكن حزم البيانات من عبور شبكات لا يمكنها عبورها لولا ذلك. يُستخدم SSH غالبًا للتحكم في الخوادم عن بُعد، وإدارة البنية التحتية، ونقل الملفات. (المصدر)NETCONF (Network Configuration Protocol):
هو بروتوكول لإدارة الشبكات يستخدم آلية استدعاء الإجراءات عن بُعد (RPC) بسيطة للتفاعل مع أجهزة الشبكة. صُمم ليعمل مع بروتوكول إدارة الشبكات البسيط (SNMP) ويستخدم صيغة ترميز بيانات XML. يتيح لمسؤولي الشبكات تكوين أجهزة الشبكة ومراقبتها واستكشاف أخطائها وإصلاحها عن بُعد، مما يجعله أداة قيّمة لإدارة الشبكات الكبيرة والمعقدة. (المصدر).gRPC:
هو إطار عمل مفتوح المصدر، لا يعتمد على لغة برمجة، ومتعدد المنصات، لاستدعاء الإجراءات عن بُعد (RPC)، يستخدم بروتوكول طبقة النقل HTTP/2. وهو تطبيق خاص لـ RPC، طورته جوجل في البداية، وتديره حاليًّا مؤسسة الحوسبة السحابية الأصلية (CNCF). (المصدر).
اضغط هنا للتواصل معنا