الخلاصة

  • ضمت لقطة فهرس CVE الرسمي لدى EEF في 30 أكتوبر 370 سجلًا بتاريخ نشر في 2026 وتسعة في 2025. زاد عدد السجلات المنشورة نحو 41 مرة؛ ولا يمثل ذلك عدد الإصلاحات أو الثغرات التي اكتشفها الذكاء الاصطناعي.
  • توقع Alistair Woodman في RIPE 93 أكثر من 500 CVE في 2026، ودعا الشركات المستفيدة من الحزم إلى تمويل عمل الأمن.

أنهى Woodman عرضه في RIPE 93 بطلب مباشر إلى الشركات التي تستخدم حزم Elixir وErlang وGleam: شاركوا في تمويل أمن المنظومة. وبعد ثلاثة أيام، أظهر فهرس مؤسسة Erlang Ecosystem Foundation (EEF) العام 370 سجل CVE بتاريخ 2026. يكشف العداد حجم ما نُشر، لكنه لا يخبر المستخدم متى تصل النسخة المصححة إلى الحزمة التي يشغّلها.

عند 08:59 بالتوقيت العالمي في 30 أكتوبر، احتوى الفهرس على 370 سجلًا منشورًا في 2026 وتسعة في 2025. أي نحو 41 ضعفًا. لا يحدد الفهرس النسخة التي تعالج كل ثغرة، ولا زمن التحقق من الإصلاح. تاريخ نشر البلاغ ظاهر؛ وتاريخ عودة الحزمة إلى نسخة مصححة غائب.

قدم Woodman توقعه في 27 أكتوبر ضمن مجموعة الأمن في RIPE 93. وقال إن EEF تغطي أكثر من 20 ألف حزمة من Elixir وErlang وGleam، يستخدمها بانتظام نحو 100 ألف شخص وما لا يقل عن خمسة آلاف شركة تعرفها المؤسسة. وقدر عدد CVE في العام السابق بنحو عشرة، وتوقع تجاوز 500 في 2026، ووصف عبء العمل بأنه زاد بأكثر من خمسين مرة. الفهرس يحصي ما نُشر؛ أما توقع Woodman فيصف حجم العمل الذي ينتظر الفريق.

وقال إن الثغرات كانت موجودة قبل أن يسهل التحليل المدعوم بالذكاء الاصطناعي العثور عليها. العثور عليها لا يغير الحزمة. على من يصون المشروع فهم البلاغ والتحقق من الخلل وتعديل الشيفرة وإصدار نسخة ثم فحص النتيجة.

وصف Woodman خمسة مسؤولين أساسيين في عمل CNA لدى EEF، لكن شخصين كانا ينجزان معظم عمل CVE وأبحاث الذكاء الاصطناعي. وتختبر المؤسسة جمع البلاغات بحسب المشروع حتى يتمكن القائمون على الصيانة من تخصيص وقت لمعالجة عدة مشكلات دفعة واحدة. بهذه الطريقة يدخل البلاغ في دورة عمل يمكن أن تنتهي بإصدار محدد، بدل أن يقطع عمل الصيانة كلما ظهر تنبيه جديد.

تحدد سياسة EEF العامة مهلًا للاستلام والتقييم: تأكيد استلام البلاغ خلال يومي عمل، ثم تقييمه خلال يومي العمل التاليين. وإذا لم يرد القائم على الصيانة خلال 14 يومًا على بلاغ غير معلن عن حزمة Hex ضمن نطاق CNA، تقول السياسة إن EEF تتابع نشر CVE. وقد يستمر الإفصاح المنسق حتى ثلاثة أشهر. هذه مهل للبلاغ والنشر؛ ولا يقيس أي منها الزمن حتى وصول النسخة المصححة.

يسجل فهرس EEF المعرف والعنوان والتفاصيل وتاريخ النشر أو التحديث. ولا يربط كل حالة برد الصيانة والنسخة المصححة ووقت التحقق. هذا المسار هو ما يبين إن كانت زيادة الإفصاح تقلص المدة التي يبقى فيها المستخدم على إصدار معرض للخطر.

Woodman عضو في مجلس EEF، وقد دعا الشركات التي تعتمد على هذا النظام إلى تمويل عمل الأمن. تستفيد مؤسسات كثيرة من الحزم؛ ويتحمل من يعرفون الشيفرة جزءًا كبيرًا من التحقق والإصلاح. نشر CVE يطلق التنبيه. أما إصدار نسخة مصححة واعتمادها فيغير البرنامج العامل. الفهرس يعدّ المرحلة الأولى؛ والرقم المفيد التالي هو ما يتتبع المرحلة الثانية.

المصادر: جلسة RIPE 93؛ النص الرسمي للجلسة؛ صفحات EEF عن CNA ونطاقها وسياسة الأمن وفهرس CVE؛ مجلس EEF.