← العودة إلى المدونة

الإحاطة الأمنية، 4 مايو 2026: فدية cPanel، اختراق Instructure، احتيال Telegram Mini App، وفوضى شهادات Microsoft Defender

النمط القبيح هذا الصباح هو ضغط الثقة: لوحات الاستضافة، ومنصات التعليم، وتطبيقات الدردشة، وحماية الأجهزة الطرفية تحولت كلها إلى نقاط leverage بمجرد أن اعتبر المدافعون الطريق المألوف طريقاً آمناً.

---

---

1. انتقل cPanel بسرعة من ثغرة حرجة إلى فدية Linux حقيقية

يتم بالفعل استغلال CVE-2026-41940 في cPanel وWHM على نطاق واسع. وتقول BleepingComputer إن ما لا يقل عن 44 ألف عنوان IP يعمل عليه cPanel تم اختراقه في هجمات مستمرة، ثم تحولت الاختراقات سريعاً إلى نشر فدية Linux باسم "Sorry" مكتوبة بلغة Go وتضيف الامتداد .sorry إلى الملفات المشفرة.

• ثبّت تحديث الأمان الخاص بـ cPanel وWHM فوراً على كل لوحة مكشوفة للإنترنت.
• ابحث عن وصول غير متوقع، وملاحظات فدية README.md، وملفات تحمل الامتداد .sorry.
• إذا كانت اللوحة مكشوفة، فاعتبر أن الوصول إلى الموقع وقاعدة البيانات والبريد قد يكون ضمن النطاق.

---

2. أصبحت Instructure الآن قصة اختراق حقيقية في قطاع التعليم، لا مجرد إشعار بحادث

أكدت Instructure أن بيانات مستخدمين سُرقت في الهجوم السيبراني الذي كُشف عنه يوم الجمعة. وتقول الشركة إن البيانات المتأثرة تشمل الأسماء وعناوين البريد وأرقام الطلاب والرسائل بين المستخدمين في المؤسسات المتضررة. ولم تجد الشركة حتى الآن أدلة على تسرب كلمات المرور أو تواريخ الميلاد أو المعرفات الحكومية أو البيانات المالية، لكن نطاق الضرر قد يبقى هائلاً إذا كانت مزاعم ShinyHunters صحيحة ولو جزئياً.

• تعامل مع الرسائل المرتبطة بـ Canvas وبيانات التعريف على أنها ربما انكشفت.
• أعد تفويض تكاملات Instructure API لأن مفاتيح التطبيقات دُوّرت احترازياً.
• حضّر المدارس والجامعات لموجات لاحقة من التصيد والهندسة الاجتماعية.

---

3. تُستخدم Telegram Mini Apps كواجهة احتيال وقناة لتوزيع برمجيات Android الخبيثة

يقول باحثو CTM360 إن عملية FEMITBOT تستخدم بوتات Telegram وMini Apps لانتحال علامات تجارية، وإظهار أرصدة مزيفة، ودفع الضحايا للإيداع، وأحياناً توزيع ملفات APK لأندرويد تبدو كتطبيقات شرعية. تنجح الحيلة لأن مسار التصيد يبقى داخل Telegram نفسه فيبدو طبيعياً للضحية.

• حذّر المستخدمين من الوثوق بتطبيقات Mini App الخاصة بالاستثمار في العملات أو أي تدفق Telegram يطلب إيداعاً أولاً.
• امنع sideloading لملفات APK القادمة من هذه الحملات وراجع ضوابط التثبيت خارج Play Store.
• راقب انتحال العلامات التجارية والاحتيال عبر القنوات الاجتماعية، لا التصيد البريدي فقط.

---

4. حوّلت الإيجابيات الكاذبة في Defender جذور DigiCert الموثوقة إلى خطر انقطاع

قام تحديث تواقيع Defender بوسم شهادات DigiCert الجذرية الشرعية على أنها Trojan:Win32/Cerdigent.A!dha، وفي بعض الأنظمة حذفها من مخزن الثقة في Windows. وتقول Microsoft إن المشكلة صُححت في Security Intelligence 1.449.430.0 أو أحدث، لكن هذا النوع من أخطاء الدفاع يكسر سلاسل الثقة بصمت بينما تضيع الفرق وقتها في مطاردة أشباح.

• تحقق من أن أنظمة Windows المتأثرة تعمل على Defender intelligence 1.449.430.0 أو أحدث.
• تأكد من أن جذور DigiCert عادت فعلاً إلى مخزن AuthRoot.
• تعامل مع شذوذات مخزن الشهادات كمشكلة أمنية ومشكلة إتاحة في الوقت نفسه.

---

ما الذي يجب على فرق الأمن فعله اليوم

1. ابدأ بترقيع cPanel وWHM إذا بقي أي panel استضافة مكشوف بلا تصحيح.
2. قيّم ما إذا كانت مؤسستك أو عملاؤك أو مورّدوك يعتمدون على Instructure أو Canvas، وجهّز التواصل الآن.
3. ادفع تحذيراً للمستخدمين بشأن احتيال الاستثمار عبر Telegram وامنع مسارات APK الجانبية حيثما أمكن.
4. دقّق في نقاط Windows الطرفية بحثاً عن إيجابيات Defender الكاذبة الخاصة بالشهادات قبل أن تتحول سلاسل الثقة المكسورة إلى أعطال أكبر.

---

---

الخلاصة: نقطة الفشل المشتركة اليوم هي الثقة الموضوعة في المكان الخطأ داخل بنية مألوفة. استغل المهاجمون ذلك في cPanel وTelegram، بينما تعثر المدافعون فيه عند التعامل مع الشهادات. الفرق التي تتحقق من افتراضاتها أسرع ستتكبد ضرراً أقل.