الثغرات الأمنية (أمن الحاسوب)

يمكن أن تتفاقم نقاط الضعف بسبب عوامل التصميم السيئة، مثل:

• التعقيد: تزيد الأنظمة الكبيرة والمعقدة من احتمالية وجود عيوب ونقاط وصول غير مقصودة. ^{[ 11 ]}
• الإلمام بالثغرات: يزيد استخدام البرامج والأنظمة التشغيلية والأجهزة الشائعة والمعروفة من احتمالية امتلاك المهاجم للمعرفة والأدوات اللازمة لاستغلال الثغرة، أو قدرته على إيجادها. ^{[ 12 ]} ومع ذلك، فإن استخدام البرامج المعروفة، وخاصة البرامج المجانية والمفتوحة المصدر ، يوفر ميزة الحصول على تحديثات برمجية أكثر تكرارًا وموثوقية لأي ثغرات يتم اكتشافها.
• الاتصال: يمكن الوصول إلى أي نظام متصل بالإنترنت واختراقه. قد يكون فصل الأنظمة عن الإنترنت فعالاً للغاية في منع الهجمات، ولكنه ليس ممكناً دائماً. ^{[ 13 ]}
• تُعدّ البرامج والأجهزة القديمة أكثر عرضة للخطر بطبيعتها. ^{[ 14 ]} ينبغي على مسؤولي النظام التفكير في الترقية من الأنظمة القديمة، ولكن هذا غالباً ما يكون مكلفاً للغاية من حيث التكلفة ووقت التوقف .

قد تؤثر ممارسات تطوير البرمجيات السيئة على احتمالية إدخال ثغرات أمنية في قاعدة البيانات. فنقص المعرفة أو التدريب على تطوير البرمجيات الآمنة، والضغط المفرط للتسليم، أو قاعدة البيانات المعقدة للغاية، كلها عوامل قد تسمح بإدخال ثغرات أمنية دون اكتشافها. وتتفاقم هذه العوامل إذا لم تُعطَ الأولوية للأمن في ثقافة الشركة . ^{[ 15 ]} كما أن مراجعات الكود غير الكافية قد تؤدي إلى إغفال بعض الأخطاء، ولكن توجد أيضًا أدوات تحليل الكود الثابت التي يمكن استخدامها أثناء عملية مراجعة الكود للمساعدة في اكتشاف بعض الثغرات الأمنية. ^{[ 16 ]}

تُعدّ منهجية DevOps ، وهي منهجية تطوير تركز على الاختبار والنشر الآليين لتسريع نشر الميزات الجديدة، تتطلب غالبًا منح العديد من المطورين صلاحية تغيير الإعدادات، مما قد يؤدي إلى إدخال ثغرات أمنية، سواءً عن قصد أو عن غير قصد. ^{[ 17 ]} ويمكن لتجزئة التبعيات، التي تُعدّ جزءًا أساسيًا من منهجية DevOps، أن تُقلل من مساحة الهجوم عن طريق تقليص التبعيات إلى ما هو ضروري فقط. ^{[ 18 ]} وفي حال استخدام البرمجيات كخدمة ، بدلًا من امتلاك المؤسسة لأجهزة وبرامج خاصة بها، فإنها تعتمد على مزود خدمات الحوسبة السحابية لمنع الثغرات الأمنية. ^{[ 19 ]}

تصنف قاعدة بيانات الثغرات الأمنية الوطنية الثغرات الأمنية إلى ثمانية أسباب جذرية قد تتداخل، بما في ذلك: ^{[ 20 ]}

1. توجد ثغرات التحقق من صحة المدخلات عندما لا يكون فحص المدخلات كافيًا لمنع المهاجم من حقن برمجيات خبيثة. وتستغل ثغرات تجاوز سعة المخزن المؤقت ، وثغرات نقص سعة المخزن المؤقت ، وثغرات شروط الحدود عادةً هذه الفئة. ^{[ 21 ]}
2. تُمكّن ثغرات التحكم في الوصول المهاجم من الوصول إلى نظام من المفترض أن يكون مقيدًا له، أو الانخراط في تصعيد الامتيازات . ^{[ 21 ]}
3. عندما يفشل النظام في التعامل مع حالة استثنائية أو غير متوقعة بشكل صحيح، يمكن للمهاجم استغلال الموقف للوصول إلى النظام. ^{[ 22 ]}
4. تنشأ ثغرات التكوين عندما تتسبب إعدادات التكوين في مخاطر على أمان النظام، مما يؤدي إلى أخطاء مثل البرامج غير المحدثة أو أذونات نظام الملفات التي لا تقيد الوصول بشكل كافٍ. ^{[ 22 ]}
5. يمكن أن تتسبب حالة التنافس - عندما يؤدي التوقيت أو عوامل خارجية أخرى إلى تغيير النتيجة وتؤدي إلى نتائج غير متسقة أو غير متوقعة - في حدوث ثغرة أمنية. ^{[ 22 ]}

يمكن إدخال ثغرات أمنية متعمدة أثناء التصنيع أو بعده، مما يؤدي إلى عدم عمل الدائرة المتكاملة كما هو متوقع في ظروف معينة. يُعد اختبار الثغرات الأمنية في الأجهزة أمرًا بالغ الصعوبة نظرًا لضيق الوقت وتعقيد رقائق القرن الحادي والعشرين، ^{[ 23 ]} في حين أن عولمة التصميم والتصنيع قد زادت من فرص إدخال هذه الثغرات من قبل جهات خبيثة. ^{[ 24 ]}

على الرغم من اختلاف ثغرات أنظمة التشغيل باختلاف النظام المستخدم، إلا أن المشكلة الشائعة هي ثغرات تصعيد الامتيازات التي تُمكّن المهاجم من الحصول على صلاحيات وصول أكبر من المسموح به. تتميز أنظمة التشغيل مفتوحة المصدر ، مثل لينكس وأندرويد ، بتوفر شفرتها المصدرية مجانًا ، مما يسمح لأي شخص بالمساهمة فيها، وهو ما قد يُسهّل ظهور ثغرات أمنية. مع ذلك، توجد هذه الثغرات نفسها أيضًا في أنظمة التشغيل الاحتكارية، مثل مايكروسوفت ويندوز وأنظمة تشغيل أبل . ^{[ 25 ]} وتُصدر جميع الشركات المُصنّعة لأنظمة التشغيل الموثوقة تحديثات دورية. ^{[ 26 ]}

يتم تنزيل تطبيقات العميل والخادم على أجهزة المستخدمين النهائيين، وعادةً ما يتم تحديثها بوتيرة أقل من تطبيقات الويب. وعلى عكس تطبيقات الويب، تتفاعل هذه التطبيقات مباشرةً مع نظام تشغيل المستخدم. تشمل الثغرات الأمنية الشائعة في هذه التطبيقات ما يلي: ^{[ 27 ]}

• تُعد البيانات غير المشفرة المخزنة بشكل دائم أو المرسلة عبر الشبكة سهلة السرقة نسبياً بالنسبة للمهاجمين. ^{[ 27 ]}
• يحدث اختطاف العمليات عندما يستولي المهاجم على عملية حاسوبية موجودة . ^{[ 27 ]}

تُشغَّل تطبيقات الويب على العديد من المواقع الإلكترونية. ونظرًا لأنها أقل أمانًا بطبيعتها من التطبيقات الأخرى، فإنها تُعدّ مصدرًا رئيسيًا لاختراقات البيانات وغيرها من الحوادث الأمنية. ^{[ 28 ] [ 29 ]} وتشمل هذه التطبيقات ما يلي:

• تُمكّن حالات فشل المصادقة والتفويض المهاجمين من الوصول إلى البيانات التي ينبغي أن تقتصر على المستخدمين الموثوق بهم. ^{[ 28 ] [ 30 ]}
• تحدث ثغرة في منطق الأعمال عندما لا يأخذ المبرمجون في الاعتبار الحالات غير المتوقعة التي تنشأ في منطق الأعمال .

تشمل الهجمات المستخدمة لاستغلال الثغرات الأمنية في تطبيقات الويب ما يلي:

• تُمكّن ثغرة البرمجة النصية عبر المواقع (XSS) المهاجمين من حقن وتشغيل برمجيات خبيثة قائمة على جافا سكريبت عندما يكون فحص المدخلات غير كافٍ لرفض الشيفرة المحقونة. ^{[ 28 ]} قد تكون ثغرة XSS مستمرة، حيث يقوم المهاجمون بحفظ البرمجية الخبيثة في حقل بيانات وتشغيلها عند تحميل البيانات؛ كما يمكن تحميلها باستخدام رابط URL خبيث (XSS المنعكس). ^{[ 28 ]} يمكن للمهاجمين أيضًا إدخال شيفرة خبيثة في نموذج كائن المجال . ^{[ 31 ]}
• تستخدم هجمات حقن SQL والهجمات المماثلة التلاعب باستعلامات قواعد البيانات للوصول غير المصرح به إلى البيانات. ^{[ 31 ]}
• يُعدّ حقن الأوامر شكلاً من أشكال حقن التعليمات البرمجية، حيث يقوم المهاجم بوضع البرمجيات الخبيثة في حقول البيانات أو العمليات. وقد يتمكن المهاجم من السيطرة على الخادم بأكمله. ^{[ 31 ]}
• تزوير الطلبات عبر المواقع (CSRF) هو إنشاء طلبات من جانب العميل تقوم بأفعال ضارة، مثل قيام المهاجم بتغيير بيانات اعتماد المستخدم. ^{[ 31 ]}
• يشبه تزوير الطلبات من جانب الخادم هجوم تزوير الطلبات من جانب الخادم (CSRF)، ولكن يتم تزوير الطلب من جانب الخادم وغالبًا ما يستغل الامتيازات المعززة للخادم. ^{[ 31 ]}
• تحدث ثغرة في منطق الأعمال عندما لا يأخذ المبرمجون في الاعتبار الحالات غير المتوقعة التي تنشأ في منطق الأعمال. ^{[ 32 ]}

تُعالج إجراءات الإصلاح الثغرات الأمنية، على سبيل المثال عن طريق تنزيل تحديث برمجي . ^{[ 40 ]} عادةً ما تعجز برامج فحص الثغرات الأمنية عن اكتشاف ثغرات اليوم الصفر، لكنها أكثر فعالية في العثور على الثغرات المعروفة استنادًا إلى قاعدة بيانات. تستطيع هذه الأنظمة العثور على بعض الثغرات المعروفة وتقديم توصيات بالإصلاحات، مثل التحديثات. ^{[ 41 ] [ 42 ]} ومع ذلك، فإن لها قيودًا، بما في ذلك النتائج الإيجابية الخاطئة . ^{[ 40 ]}

لا يمكن استغلال الثغرات الأمنية إلا عندما تكون نشطة، أي عندما يكون البرنامج الذي يحتوي عليها قيد التشغيل على النظام. ^{[ 43 ]} قبل تهيئة الكود الذي يحتوي على الثغرة الأمنية للتشغيل على النظام، يُعتبر ناقلاً لها. ^{[ 44 ]} يمكن أن تعمل الثغرات الأمنية الكامنة، ولكنها غير قيد التشغيل حاليًا. يمكن أحيانًا إلغاء تثبيت البرامج التي تحتوي على ثغرات كامنة أو ناقلة، أو تعطيلها، مما يزيل الخطر. ^{[ 45 ]} يمكن إعطاء الأولوية للثغرات الأمنية النشطة، إذا تم تمييزها عن الأنواع الأخرى، لتحديثها. ^{[ 43 ]}

تُعدّ إجراءات تخفيف الثغرات الأمنية تدابير لا تُغلق الثغرة تمامًا، بل تُصعّب استغلالها أو تُقلّل من عواقب الهجوم. ^{[ 46 ]} ويُعتبر تقليص مساحة الهجوم ، لا سيما لأجزاء النظام التي تتمتع بصلاحيات الجذر (المسؤول)، وسدّ فرص استغلال الصلاحيات، استراتيجية شائعة للحدّ من أضرار الهجمات الإلكترونية. ^{[ 40 ]} وفي حال عدم توفّر تحديث لبرامج الطرف الثالث، يُمكن تعطيل البرنامج مؤقتًا. ^{[ 47 ]}

يهدف اختبار الاختراق إلى اختراق النظام عبر ثغرة أمنية للتحقق من مدى أمانه. ^{[ 48 ]} وإذا فشل اختبار الاختراق، فهذا لا يعني بالضرورة أن النظام آمن. ^{[ 49 ]} يمكن إجراء بعض اختبارات الاختراق باستخدام برامج آلية تختبر الثغرات الأمنية المعروفة مقابل الثغرات الموجودة. ^{[ 50 ]} بينما تُجرى اختبارات اختراق أخرى بواسطة قراصنة مدربين. وتفضل العديد من الشركات التعاقد مع جهات خارجية لإجراء هذا العمل لأنه يحاكي هجومًا خارجيًا. ^{[ 49 ]}

يُعد نظام تقييم الثغرات الأمنية الشائعة (CVSS)، وهو نظام مفتوح المصدر، مقياسًا شائع الاستخدام لتقييم خطورة الثغرات الأمنية . يُقيّم CVSS إمكانية استغلال الثغرة الأمنية وتعريض سرية البيانات وتوافرها وسلامتها للخطر. كما يأخذ في الاعتبار كيفية استخدام الثغرة الأمنية ومدى تعقيد عملية الاستغلال المطلوبة. ويُؤخذ في الاعتبار أيضًا حجم الوصول اللازم للاستغلال وإمكانية تنفيذه دون تدخل المستخدم عند حساب النتيجة الإجمالية. ^{[ 63 ] [ 64 ]}

قد يُفصح مكتشف الثغرة الأمنية عنها فورًا ( إفصاح كامل )، أو ينتظر حتى يتم تطوير رقعة تصحيحية ( إفصاح مسؤول ، أو إفصاح منسق). يُشيد بالنهج الأول لشفافيته، لكن عيبه يكمن في احتمال ازدياد خطر الهجوم بعد الإفصاح في حال عدم توفر رقعة تصحيحية. ^{[ 65 ]} يدفع بعض البائعين مكافآت مالية لمن يُبلغون عن الثغرات الأمنية. ^{[ 66 ] [ 67 ]} لا تستجيب جميع الشركات بشكل إيجابي للإفصاحات، إذ قد تُسبب مسؤولية قانونية وتكاليف تشغيلية إضافية. ^{[ 68 ]} لا يوجد قانون يُلزم بالإفصاح عن الثغرات الأمنية. ^{[ 69 ]} إذا اكتشف طرف ثالث ثغرة أمنية ولم يُفصح عنها للبائع أو للجمهور، تُسمى ثغرة اليوم الصفر ، وغالبًا ما تُعتبر أخطر أنواع الثغرات نظرًا لقلة وسائل الحماية المتاحة لها. ^{[ 70 ]}

تُعدّ قاعدة بيانات الثغرات الأمنية الشائعة (CVE)، التي تُشرف عليها مؤسسة Mitre ، أكثر قواعد البيانات استخدامًا في مجال الثغرات الأمنية . ^{[ 71 ]} واعتبارًا من أبريل 2026، تضمّ هذه القاعدة أكثر من 327,000 مدخل. ^{[ 1 ]} وتُشارك هذه المعلومات مع قواعد بيانات أخرى، بما في ذلك قاعدة بيانات الثغرات الأمنية الوطنية في الولايات المتحدة ، ^{[ 71 ]} حيث تُمنح كل ثغرة أمنية درجة مخاطر باستخدام نظام تقييم الثغرات الأمنية الشائعة (CVSS)، ونظام تعداد المنصات الشائعة (CPE)، ونظام تعداد نقاط الضعف الشائعة . ولا تُتابع قاعدة بيانات CVE، وغيرها من قواعد البيانات، عادةً الثغرات الأمنية في منتجات البرمجيات كخدمة . ^{[ 41 ]} ويُعدّ تقديم تقرير عن ثغرة أمنية (CVE) أمرًا طوعيًا للشركات التي اكتشفت ثغرة أمنية. ^{[ 69 ]}