البرمجيات
كل ما كتبته عن البرمجيات، الأحدث أولًا.
جديد
- البرمجيات · 22 أكتوبر 2026
PHP2Shell: حدّث PHP وأعد تشغيل كل العمليات
ثغرتان حرجتان في PHP نفسها تتيحان تشغيل كود عن بعد على خوادم الويب. الإصلاحات متاحة من 8.2 إلى 8.5. والإصدارات الأقدم تحتاج توزيعتك أو مزوّد دعم طويل.
- البرمجيات · 14 أكتوبر 2026
1,413 إصلاحًا في ثلاثاء تحديثات واحد
تحديث Microsoft لشهر أكتوبر يصلح عددًا قياسيًا من الثغرات، منها ثغرة مستغلة في Windows Shell. ابدأ بها.
- البرمجيات · 8 سبتمبر 2026
قانون المرونة السيبرانية الأوروبي: الإبلاغ يبدأ الجمعة
من 11 سبتمبر، يجب على مصنّعي البرمجيات والمنتجات المتصلة المبيعة في الاتحاد الأوروبي الإبلاغ عن الثغرات المستغلة خلال 24 ساعة.
- البرمجيات · 1 سبتمبر 2026
وقّع إصداراتك ليتحقق منها العملاء
بعد سنة من الحزم الملغومة، صار إثبات أن الإصدار خرج من نظام البناء الخاص بك أمرًا لا غنى عنه.
- البرمجيات · 13 أغسطس 2026
أي إصدارات PHP ما زالت تحصل على إصلاحات أمنية؟
توقفت الإصلاحات الأمنية لـPHP 8.1 نهاية 2025، ويتبعه 8.2 في ديسمبر القادم. راجع ما تعمل به خوادمك.
- البرمجيات · 6 أغسطس 2026
اجتياز المسار: ../ ما زالت تكسر التطبيقات
إن انتهى اسم ملف من المستخدم داخل مسار ملف، فسيجرب أحدهم ../../etc/passwd. افحص المسار النهائي لا المُدخل.
- البرمجيات · 23 يوليو 2026
حدّد معدل الطلبات على الدخول وواجهات API
دون حدود، يستطيع سكربت واحد تجربة آلاف كلمات المرور أو جمع بياناتك أو تضخيم فاتورتك. أضف الحدود قبل أن تحتاجها.
- البرمجيات · 7 يوليو 2026
إعادة التوجيه المفتوحة تجعل روابط التصيد تبدو روابطك
رابط على نطاقك يحوّل إلى أي عنوان يتيح للمهاجمين استعارة اسمك. حوّل فقط إلى أماكن تختارها.
- البرمجيات · 2 يونيو 2026
كل خاصية خطرة تحتاج مفتاح إيقاف
حين تسيء خاصية التصرف أو تُستغل، أسرع إصلاح هو إيقافها، دون نشر جديد.
- البرمجيات · 14 مايو 2026
الذكاء الاصطناعي يجد الثغرات أسرع، فاستعد لتحديثات أكثر
تقول Microsoft إن نظام ذكاء اصطناعي لديها وجد ثغرات أُصلحت هذا الشهر. والشركات في كل مكان تصدر إصلاحات أكثر. وعملية التحديث لديك يجب أن تواكب.
- البرمجيات · 31 مارس 2026
security.txt: أخبر الناس أين يبلغون عن الثغرات
حين يجد شخص ثغرة في موقعك، يحتاج طريقة لإخبارك. ملف من سطرين يجعل ذلك سهلًا.
- البرمجيات · 20 مارس 2026
ثبّت GitHub Actions على commit لا على وسم
زرع مهاجمون بابًا خلفيًا في أداة Trivy وأعادوا كتابة وسوم GitHub Action الخاصة بها. خطوط البناء المثبتة على الوسوم شغّلت كود المهاجم.
- البرمجيات · 5 مارس 2026
غيّر الأسرار دون أن يتعطل الإنتاج
معظم الفرق لا تغيّر مفاتيح API أبدًا خوفًا من التوقف. صمّم لوجود مفتاحين صالحين معًا، فيصبح الأمر مملًا.
- البرمجيات · 21 أكتوبر 2025
الحزم التي تعتمد عليها كود لم تراجعه
مطوّر واحد يقع في التصيّد قد يدخل برنامجًا خبيثًا إلى آلاف التطبيقات. عادات بسيطة تحدّ من الضرر.
- البرمجيات · 27 يونيو 2024
polyfill.io والسكربتات التي تحمّلها من غرباء
أكثر من 100 ألف موقع نشرت برنامجًا خبيثًا لأنها تحمّل سكربتًا من نطاق تغيّر مالكه. افحص صفحاتك.
- البرمجيات · 19 مارس 2024
تطبيقك لا يحتاج مستخدم root في قاعدة البيانات
إذا اتصل التطبيق كـroot، فثغرة SQL injection واحدة تملك كل شيء. أعطه مستخدمًا صغيرًا خاصًا به.
- البرمجيات · 4 أبريل 2023
3CX: عندما يكون المثبّت الموقّع هو البرنامج الخبيث
تطبيق 3CX الحقيقي الموقّع وصل وبداخله برنامج خبيث. ماذا تفعل، ولماذا لا يكفي «أنه موقّع».
- البرمجيات · 18 أكتوبر 2022
Toyota: مفتاح وصول علني على GitHub خمس سنوات
جزء من كود تطبيق، وبداخله مفتاح خادم، بقي في مستودع عام منذ 2017. افحص المتعاقدين معك أيضًا.
- البرمجيات · 27 سبتمبر 2022
Optus وواجهة API يستطيع أي أحد استدعاءها
تسرّبت بيانات ما يصل إلى 9.8 مليون أسترالي. التقارير تشير إلى واجهة API لا تتحقق ممن يطلب.
- البرمجيات · 26 يوليو 2022
تطبيق Confluence الذي جاء ومعه كلمة مرور
تثبيت تطبيق واحد من Atlassian يُنشئ حسابًا بكلمة مرور ثابتة، وهذه الكلمة صارت علنية. افحص نظامك.
- البرمجيات · 19 أبريل 2022
رموز OAuth المسروقة: راجع التطبيقات المتصلة بـGitHub
مهاجمون استخدموا رموزًا سُرقت من Heroku وTravis CI لتنزيل مستودعات GitHub خاصة. افحص من يستطيع قراءة كودك.
- البرمجيات · 5 أبريل 2022
Spring4Shell: افحص إعدادك، ثم حدّث
ثغرة Spring Framework الجديدة خطيرة لكنها أضيق من Log4Shell. إليك كيف تعرف إن كنت متأثرًا.
- البرمجيات · 9 نوفمبر 2021
Trojan Source: كود يُقرأ بغير ما يُنفَّذ
رموز اتجاه النص المخفية قد تجعل الكود يبدو بريئًا للمراجع بينما يرى المترجم شيئًا آخر.
- البرمجيات · 19 أكتوبر 2021
تسريب Twitch جاء من إعداد خادم
تسرّب الكود المصدري ومدفوعات صنّاع المحتوى بعد ما تسميه Twitch خطأً في إعداد خادم. سوء الإعداد اختراق أيضًا.
- البرمجيات · 27 أبريل 2021
Codecov: عندما يسرق سكربت CI أسرارك
سكربت رفع Codecov المعدّل أرسل متغيرات البيئة من خطوط CI إلى المهاجمين لشهور. غيّر الأسرار، ثم تحقّق مما تشغّله.
- البرمجيات · 23 فبراير 2021
ارتباك الاعتماديات: اسم الحزمة صار هجومًا
باحث أمني شغّل كودًا داخل Apple وMicrosoft وPayPal بنشر حزم عامة تحمل أسماءها الداخلية.
- البرمجيات · 26 سبتمبر 2019
ثغرة يوم الصفر في vBulletin: حدّث منتداك
نُشرت دون إنذار ثغرة تشغيل كود في vBulletin لا تحتاج دخولًا، والتحديث متاح. المنتديات تحت الهجوم.
- البرمجيات · 9 يوليو 2019
تعبير نمطي واحد سيئ أوقف Cloudflare
قاعدة جدار حماية جديدة بتعبير نمطي مكلف استنزفت المعالجات حول العالم 27 دقيقة. اختبر التغييرات المملة أيضًا.
- البرمجيات · 4 يونيو 2019
885 مليون سجل ورقم واحد يتغير في الرابط
كشفت First American مستندات الرهن العقاري لأن أي شخص كان يستطيع تغيير رقم المستند في الرابط.
- البرمجيات · 30 أبريل 2019
اختراق Docker Hub: راجع رموز البناء
تسربت بيانات 190 ألف حساب على Docker Hub، ومنها رموز GitHub وBitbucket المستخدمة في البناء الآلي.
من الأرشيف
ملاحظات من مدونتي القديمة على mohamedsharaf.net (2010–2018)، أُعيدت كتابتها ومراجعتها. بعضها قديم، والتاريخ يوضح كم.
- البرمجيات · 7 فبراير 2016
تشغيل PhpStorm (أو أي محرر من JetBrains) من فلاشة USB
احتفظ بالمحرر وكل إعداداته في مجلد واحد تحمله على فلاشة أو تزامنه مع السحابة.
- البرمجيات · 11 يناير 2014
بنية تطبيقات JavaScript الكبيرة: الوحدات والواجهة والوسيط
إجابة أدي عثماني الكلاسيكية لتطبيقات JavaScript الكبيرة: وحدات مستقلة لا تتواصل إلا عبر وسيط.
- البرمجيات · 3 نوفمبر 2010
PHP مقابل ASP.NET مقابل Java EE: نظرة 2010، ونظرة اليوم
كيف قارن الناس بين منصات الويب الثلاث الكبرى في 2010 من حيث التكلفة والدعم والاستضافة، وما الذي بقي صحيحًا.