الخلاصة

  • توقّع Woodman أكثر من 500 CVE في 2026 ضمن منظومة Erlang وElixir وGleam، بعد نحو عشرة في العام السابق؛ وتذكر صفحة RIPE 93 زيادة تفوق 50 مرة.
  • بعد الاكتشاف تبدأ أعمال التنسيق والإصلاح والتحقق. تختبر EEF تجميع الحالات حسب المشروع، وطلب Woodman من الشركات التي تستخدم البرمجيات تمويل عمل CNA.

العثور على الثغرة لم يعد أصعب خطوة. الأصعب أن يتوقف شخص يعرف الحزمة عن عمله، يعيد إنتاج المشكلة، يغيّر الشيفرة، يختبرها ثم ينشر إصداراً يستطيع المستخدم تثبيته. هذا هو الفاصل الذي شرحه Alistair Woodman في جلسة الأمن خلال RIPE 93.

قارن Woodman نحو عشر حالات CVE في العام الماضي بتوقع يتجاوز 500 حتى نهاية 2026. وتقول صفحة الجلسة إن الحمولة زادت بأكثر من خمسين مرة. بحسب شرحه، كثير من هذه المشكلات كان موجوداً من قبل لكن الأدوات لم تكشفه. الرقم يقيس سجلات CVE، لا عدد الحزم التي أُصلحت ولا عدد الثغرات الجديدة التي أُدخلت هذا العام.

قال إن فريق CNA يتألف من خمسة مسؤولين رئيسيين، وإن أربعة أعضاء آخرين في القائمة من المجتمع. وقدّر أن نحو 15 شخصاً في Ericsson يعملون على صيانة قلب الآلة الافتراضية. أما معالجة معظم حالات CVE والبحث باستخدام الذكاء الاصطناعي فيقوم به شخصان. CNA ينسق الإفصاح ويمنح المعرف؛ صيانة الحزمة تبقى على صاحب المشروع.

تجرب المجموعة تجميع البلاغات الخاصة بمشروع واحد في فترة عمل محجوزة، بدلاً من مقاطعة الصيانة مع كل اكتشاف جديد. قدم Woodman ذلك بوصفه تجربة، ولم يعرض قياساً يثبت أن الطريقة قلّصت الزمن حتى إصدار التصحيح.

تحدد سياسة EEF يومي عمل للإقرار بالبلاغ وتقييمه. أما الثغرات المنشورة علناً فتقول السياسة إن معلوماتها ستُنشر خلال 24 ساعة أو أقل. هذا التزام تنظيمي يحتاج إلى أشخاص يفرزون البلاغات، بينما تعتمد المعالجة على جداول فرق مشاريع مستقلة.

قدّر Woodman المنظومة بنحو 20 ألف حزمة، وقرابة 100 ألف مستخدم منتظم، وما لا يقل عن 5,000 شركة معروفة. وفي ختام حديثه دعا الشركات التي تستخدم التكنولوجيا ولا تظهر ضمن قائمة الرعاة إلى تمويل العمل. وتعرض EEF مسارين للدعم: رعاية مالية أو منسقون متطوعون.

المصادر