تعداد اشکالات امسال به تازگی از 100 هزار گذشت

رکورد جدیدی برای vulns ثبت کنید. تعداد آسیب‌پذیری‌ها و مواجهه‌های رایج (CVE) که تاکنون در سال 2026 کشف و افشا شده است، در روز جمعه از 100000 فراتر رفت - بیش از دو برابر کل سال 2025 - و دلیل آن را می‌توان در دو حرف خلاصه کرد: هوش مصنوعی.

جاش برسرز، مدیر افشای آسیب‌پذیری هماهنگ VulnCheck، به The Register گفت: «این یک نوع وحشی است. "چیزی که تقریبا بجسوس را از من می ترساند این است که در حالی که 100K بسیار زیاد به نظر می رسد، چند سال دیگر می خواهیم بگوییم، یادتان هست زمانی که فقط 100K بود؟"

او گفت که تا زمان مصاحبه ما، حدود ساعت 4 بعد از ظهر روز جمعه UTC، VulnCheck 100222 CVE را شمارش کرد. مایکروسافت به تنهایی 1094 نقص امنیتی را در روز سه‌شنبه به دنبال 1474 آسیب‌پذیری در ماه قبل اضافه کرد.

این واقعیت را نمی‌توان انکار کرد که شکار آسیب‌پذیری با هوش مصنوعی باعث می‌شود اکثر آنچه می‌بینیم را هدایت کند.» برسرز گفت: تمام مقامات اصلی شماره‌گذاری CVE (CNA) - اینها سازمان‌هایی هستند که توسط برنامه CVE مجاز به اختصاص شناسه‌های منحصربه‌فرد به آسیب‌پذیری‌های امنیتی هستند - مانند VulnCheck، مایکروسافت، اوراکل، GitHub و سایر فروشندگان بزرگ فناوری اطلاعات سازمانی «در حال حاضر در جو فریاد می‌زنند. "این هوش مصنوعی است."

در همین حال، درصد این اشکالات که در طبیعت مورد بهره برداری قرار می گیرند نسبتا ثابت است. حدود 1.4 درصد (1363) از CVE های منتشر شده در سال جاری به کاتالوگ آسیب پذیری های مورد سوء استفاده شناخته شده (KEV) VulnCheck اضافه شده است.

برسرز گفت: «اما بدیهی است که با افزایش تعداد CVE ها، [1 درصد] از 1000 بسیار متفاوت از [1 درصد] از 100000 است.

به علاوه، همانطور که سایر محققان امنیتی مستند کرده‌اند، فاصله بین انتشار عمومی یک وصله امنیتی و مهاجمانی که اکسپلویت‌های کاری را توسعه می‌دهند - اغلب با مهندسی معکوس وصله در حالی که کاربران نهایی هنوز در حال اعمال اصلاح هستند - به سرعت در حال کاهش است. این نیز به لطف هوش مصنوعی است.

از CVE تا KEV

از ژانویه تا ژوئن، 88 درصد از بهره برداری مشاهده شده توسط CrowdStrike با استفاده از کد اثبات مفهوم عمومی (PoC) ظرف 48 ساعت پس از انتشار کد رخ داده است. این شرکت امنیتی گفت که گروه‌های مرتبط با چین مانند Vault Panda و Genesis Panda حتی سریع‌تر حرکت کردند و حملات خود را در عرض 24 ساعت پس از افشای اطلاعات انجام دادند.

به طور مشابه، VulnCheck دریافت که میانگین زمان از انتشار CVE تا بهره برداری از 120 روز در سال 2025 به 80 روز در نیمه اول سال 2026 کاهش یافته است. این پنجره در نیمه دوم سال حتی بیشتر بسته شده است، که به نظر می رسد همزمان با vulnpocalypse ناشی از هوش مصنوعی باشد.

Bressers با اشاره به 14 آسیب‌پذیری make-me-root که VulnCheck روز جمعه در کنترل‌کننده‌های یخچال کوپلند افشا کرد، گفت: «اغلب فقط چند ساعت طول می‌کشد. دو مورد تحت بهره برداری فعال هستند. اینها ابزارهایی هستند که هکرهای ایرانی برای خراب کردن غذا و ایجاد آتش سوزی در سوپرمارکت های سراسر اروپا از آنها سوء استفاده کردند.

برسرز در مورد آسیب‌پذیری‌های دستگاه Copeland گفت: «ما آن CVE‌ها را منتشر کردیم و به معنای واقعی کلمه چند دقیقه بعد، شاهد ضربه‌هایی روی گلدان‌های عسل خود بودیم. "ما به نقطه‌ای رسیده‌ایم که با هر چیزی که جالب به نظر می‌رسد، کسی آن اطلاعات را می‌گیرد و می‌بیند که با آن چه کاری می‌تواند انجام دهد. آیا هوش مصنوعی هدایت می‌شود؟ احتمالا. گفتن اینکه اینطور نیست، سخت است، زیرا اخیرا دیده‌ایم که واقعا افزایش یافته است."

این هجوم باگ‌های نرم‌افزاری مستلزم تغییری اساسی در نحوه رویکرد کل صنعت به افشای آسیب‌پذیری و اصلاح آن است.

برسرز گفت: «ما دیگر مشکل امنیتی نداریم. ما اکنون مشکل داده‌ای داریم. به جای وسواس در مورد آسیب‌پذیری‌ها، باید شروع به بررسی مواردی مانند نقشه‌های حرارتی برای زیرساخت‌ها کنیم و آسیب‌پذیری‌هایی را که واقعا شما را تحت تأثیر قرار می‌دهند، کشف کنیم. CISA BOD در این مورد کمک می‌کند.»

چه چیزی را در یک پچ پوکالیپس در اولویت قرار دهیم

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) در ژوئن دستورالعمل امنیت سایبری را صادر کرد که جایگزین سیاست‌های مدیریت آسیب‌پذیری با مهلت ثابت می‌شود. به جای اولویت بندی وصله صرفا بر اساس امتیازات شدت CVSS، این دستورالعمل به سازمان ها دستور می دهد که بر اساس معیارهای خطر خاص، از جمله اینکه آیا دارایی در معرض اینترنت قرار دارد، تحت بهره برداری فعال است، و اینکه آیا مهاجم می تواند بهره برداری را خودکار کند، اولویت بندی کنند.

برسرز گفت: «این به مردم می‌گوید آسیب‌پذیری‌هایی را که واقعا شما را تحت تأثیر قرار می‌دهند، کشف کنید و سپس آن‌ها را در صدر فهرست قرار دهید، به‌جای اینکه فقط بگویند ما همه موارد بحرانی را برطرف می‌کنیم».

افشای آسیب‌پذیری‌های ایجاد شده توسط هوش مصنوعی نیز دردسرهای بزرگی را برای توسعه‌دهندگان و نگه‌دارندگان نرم‌افزار متن‌باز ایجاد می‌کند، که برسرز آن را به عنوان یک مشکل امنیتی «بسیار نزدیک به قلب من» توصیف می‌کند.

او گفت: "شما توسعه دهندگان فردی دارید که در گزارش های آسیب پذیری غرق شده اند." «شما پایه‌هایی دارید که توسط عوامل هوش مصنوعی که داده‌هایشان را می‌خراشند یا بسته‌هایشان را دانلود می‌کنند، میلیون‌ها بار در روز خرد می‌شوند، و این موضوع کاملا به هر کجا که نگاه می‌کنید فشار می‌آورد. تنها چیزی که می‌توانم با قطعیت بگویم این است: روشی که ما در حال حاضر کارها را انجام می‌دهیم باید تغییر کند، و به زودی باید تغییر کند.»

پروژه های متن باز مختلف رویکردهای متفاوتی برای حل این مشکل در پیش گرفته اند. بنیاد Eclipse، که رجیستری Open VSX را در خود جای داده است، در ماه آوریل یک "سطح مدیریت شده" را برای مشتریان سازمانی و سایر سازمان هایی که Open VSX را در مقیاس گسترده اجرا می کنند، راه اندازی کرد.

به جای استفاده از نسخه رایگان و منبع باز، نسخه مدیریت شده 99.95 درصد SLA آپتایم را با پشتیبانی اعتبار خدمات تضمین می کند. مشتریان آن عبارتند از AWS، IBM، Google، Cursor و Windsurf. این گزینه پولی به معنای کاربران تجاری است که به رجیستری کمک می‌کنند تا هزینه تعمیر و نگهداری مداوم آن و امنیت و عملکرد پلت‌فرم‌های خود را تامین کنند.

در همین حال، نگهدارنده curl، دانیل استنبرگ، با استناد به "بهمنی از گزارش‌های آسیب‌پذیری"، قوانین گزارش اشکال خود را ماه گذشته به‌روزرسانی کرد. از تاریخ 26 اکتبر، همه گزارش‌های با شدت کم و متوسط ​​مستقیما به مخزن عمومی GitHub می‌روند، و تنها نقص‌های مهم و پرخطر در اختیار مدیریت خصوصی قرار می‌گیرند.

استنبرگ در حال حاضر برنامه پاداش اشکالات curl را در سال جاری تعطیل کرده است، زیرا ارسال‌های ارائه شده توسط هوش مصنوعی کار را روی تیم امنیتی خود انباشته کرده است.

برسرز گفت: "خیلی چیزهای بیشتری باید اتفاق بیفتد، و من فکر می کنم اجرای بخشی از این تغییر یک چالش خواهد بود." "وقتی یک رجیستری بسته به شدت چیزی را تغییر می دهد، مردم شروع به وحشت می کنند، و دنیا به پایان می رسد، و افراد در لینکدین شکایت می کنند - بسیاری از مردم مردد هستند. هیچ کس نمی خواهد اولین کسی باشد که به استخر پر از تمساح می پرد. این یکی از چالش های ما است."