2026 عام الأرقام القياسية
إذا شعرت أنك تسمع كل بضعة أيام عن اختراق كبير جديد، فهذا ليس مجرد شعور. العام لم ينتهِ بعد، وفي عدة مؤشرات رئيسية صار بالفعل الأسوأ منذ بدء القياس:
2026 بالأرقام، حتى بداية نوفمبر
المصادر: قاعدة بيانات الثغرات NVD (عدّ حتى 5 نوفمبر 2026)؛ ransomware.live (6 نوفمبر 2026)؛ د. محمد الكويتي، رئيس مجلس الأمن السيبراني لحكومة الإمارات، عبر Gulf News (20 أبريل 2026)؛ Check Point Research (8 أكتوبر 2026).
ولم يتخلّف WordPress عن الركب: منذ بداية 2026 نُشرت نحو 6,200 ثغرة يرد WordPress في وصفها، مقابل نحو 3,500 في الفترة نفسها من 2025.
والضرر لا يقتصر على الشركات العملاقة:
- في مايو 2026 توقفت منصة التعليم Canvas في منتصف موسم الامتحانات بعد اختراق، وشُوّهت صفحات تسجيل الدخول فيها.
- في يونيو 2026 فتح حساب دخول منسيّ منذ 2022، لدى مزوّد البرامج Klue، الطريق أمام المهاجمين إلى نحو 200 من عملائه.
لماذا موقعك أنت
لا أحد يجلس أمام الحاسوب ويقرّر أن يخترق موقع عيادة في الشارقة أو شركة صيانة في دبي بالذات. اختراق مواقع الأعمال الصغيرة يحدث في أغلب الأحيان على يد برامج تمسح الإنترنت كله، طوال الوقت، وتبحث عن شيء واحد: إضافة أو قالب أو كود فيه ثغرة معروفة. حين تجدها، تدخل. اسم العمل لا يعنيها.
في 2025 كانت نحو 40% من حركة الإنترنت كلها روبوتات خبيثة، أي برامج من هذا النوع بالضبط. وفي WordPress، الذي تُبنى عليه مواقع عدد كبير جدًا من الأعمال، تبدو الأرقام هكذا:
WordPress في 2025، بنظرة واحدة
المصادر: Patchstack، State of WordPress Security in 2026؛ Thales Imperva، Bad Bot Report 2026.
المعنى العملي: التحديثات مهمة، لكنها لا تكفي. الإضافة التي توقف مطوّرها عن صيانتها، والكود الذي كتبه لك أحدهم قبل خمس سنوات، والنموذج الذي يقبل الملفات دون أن يتحقق منها، لن يظهر أيٌّ منها في شاشة التحديثات.
ماذا يحدث يوم اختراق الموقع
ما حدث لي
كانت لديّ في الماضي مدونة كبيرة، حصدت ملايين المشاهدات. اخترقها أحد المخترقين واستبدل بها موقعًا خبيثًا. ضاعت المدونة، وضاع معها كل العمل الذي استثمرته فيها وفي ظهورها في Google.
اختراق واحد قد يمحو سنوات من العمل. والموقع المخترق لا يعود دائمًا إلى مستواه السابق، حتى بعد تنظيفه.
في أغلب الحالات لا يكتشف صاحب العمل الاختراق بنفسه. يرسل إليه عميل لقطة شاشة، أو تتوقف الطلبات القادمة من الموقع فجأة. وهذه أكثر الأمور حدوثًا:
- يُحوَّل الزوار إلى موقع آخر. في تقرير GoDaddy وSucuri عن 2024، وُجد كود خبيث في 74.7% من المواقع المصابة، وهو في الغالب يحوّل الزوار إلى موقع آخر.
- تظهر في الموقع صفحات لم تكتبها. صفحات سبام بلغات أجنبية، موجّهة إلى Google لا إليك. حدث هذا في 38.4% من المواقع المصابة.
- يحذّر Google من الموقع. تظهر في نتائج البحث عبارة تقول إن الموقع ربما يكون مخترقًا، ويعرض Chrome شاشة حمراء قبل أن يُفتح الموقع أصلًا. بعد التنظيف يجب أن تطلب من Google مراجعة الموقع من جديد، وتستغرق المراجعة من بضعة أيام إلى بضعة أسابيع.
- يتضرر ظهورك في Google. من يرى في نتائج البحث تحذيرًا بأن الموقع مخترق لا يدخله، وصفحات السبام التي أضافها المهاجم تنافس صفحاتك الحقيقية. مراكز بنيتها في سنوات قد تختفي خلال أيام، ولا تعود دائمًا.
- تتسرّب بيانات العملاء. كل نموذج في الموقع يحفظ اسمًا ورقم هاتف، وأحيانًا أكثر. وقانون حماية البيانات الشخصية في الإمارات، المرسوم بقانون اتحادي رقم 45 لسنة 2021، يُلزم الشركة التي تحتفظ بهذه البيانات بحمايتها، وبإبلاغ مكتب الإمارات للبيانات بسرعة إذا تعرّضت لاختراق. وللمناطق الحرة مثل مركز دبي المالي العالمي (DIFC) قوانين حماية بيانات خاصة بها، فيها واجبات مماثلة.
ماذا يحدث في الإمارات
للمواقع في الإمارات سبب إضافي لتكون هدفًا: الإمارات من أكثر الدول استهدافًا في المنطقة. في النصف الأول من 2026 وقعت فيها 35% من كل الهجمات السيبرانية المرصودة في منطقة الخليج، بحسب دراسة Positive Technologies، وهي حصة تفوق حصتي إيران والسعودية مجتمعتين. ثلاث محطات من هذا العام:
2026 في الإمارات، في ثلاث محطات
- هجمات منظمة بأدوات طُوّرت بالذكاء الاصطناعيأعلن مجلس الأمن السيبراني أنه أحبط محاولات لاختراق شبكات ونشر برامج فدية وحملات تصيّد منظمة ضد منصات وطنية. وقال رئيسه إن الدولة تتعرض يوميًا لما بين 90 ألفًا و200 ألف محاولة اختراق
- 800 ألف محاولة في اليوم، حتى في الفترات الهادئةرصد المجلس 350 مجموعة منظمة و320 مخترقًا هاويًا يستهدفون الإمارات، ويراقب نحو 5,000 قناة على Telegram. والذكاء الاصطناعي يتيح للمهاجمين تشغيل الهجمات على نطاق واسع بأقل تدخل بشري
- فدية تتجاوز 5 ملايين دولار من شركة خاصةاخترق مهاجم شركة في القطاع الخاص وأتلف بيانات، ثم انتشرت البيانات المسروقة على Telegram وفي الإنترنت المظلم. روى ذلك رئيس الأمن السيبراني لحكومة الإمارات في قمة الإعلام العربي بدبي
المصادر: The National (22 فبراير 2026، و15 سبتمبر 2026)؛ Gulf News (20 أبريل 2026)؛ Positive Technologies عبر صحيفة البيان (2026).
وماذا عن الأعمال الصغيرة؟ في استطلاع أجرته Mastercard بين أصحاب الأعمال الصغيرة والمتوسطة في الإمارات (أبريل 2025)، قال 47% إنهم تعرّضوا لهجوم سيبراني. ومن بين من تعرّضوا لهجوم، اضطر الربع إلى إعلان الإفلاس، وأغلق 19% أعمالهم.
استنتاجان. الأول: هذا الحجم من الهجمات آلي في أغلبه، ولا يختار ضحاياه بالاسم، ويزداد أسرع من قدرة أي عمل على المتابعة يدويًا. الثاني: الجهات الحيوية في الدولة تحميها فرق وطنية، أما موقع العمل الصغير فلا يحميه إلا صاحبه، وثمن الاختراق قد يكون العمل كله.
مع الذكاء الاصطناعي تغير الإيقاع
حتى وقت قريب، كان العثور على ثغرة جديدة يحتاج إلى خبير وإلى وقت. اليوم لم يعد الأمر كذلك:
- في مايو 2026 أعلنت Google لأول مرة عن مهاجمين استخدموا ثغرة لم يكن يعرفها أحد، ويُقدَّر أنها طُوّرت بمساعدة الذكاء الاصطناعي. كانت تتجاوز رمز التحقق الذي يُرسل إلى الهاتف، في أداة شائعة لإدارة المواقع، وكانت عصابات إجرامية تخطط لاستغلالها على نطاق واسع.
- بحسب تقرير Verizon لعام 2026، صار استغلال الثغرات في البرامج الطريقة الأكثر شيوعًا لبدء الاختراقات، بنسبة 31%، متقدّمًا على كلمات المرور المسروقة.
- وفي الإمارات، قال رئيس مجلس الأمن السيبراني في سبتمبر 2026 إن الذكاء الاصطناعي سرّع الهجمات السيبرانية تسريعًا كبيرًا.
لكن التقنية نفسها تعمل في الاتجاه المعاكس أيضًا. إذا كان المهاجمون يستطيعون تشغيل ذكاء اصطناعي يبحث عن الثغرات في الكود، فيمكن تشغيل ذكاء اصطناعي يجدها قبلهم. وهذا ما أفعله.
ماذا أفعل
أحصل على صلاحية الوصول إلى كود الموقع، ويمرّ عليه نظام الوكلاء في Platin Digital. وكيل الذكاء الاصطناعي برنامج يفهم الكود ويقرؤه كما يقرؤه المبرمج، لكن دون أن يتعب. وبدل وكيل واحد يقرأ كل شيء، هناك فريق كامل، ولكل وكيل دور:
كيف يعمل الوكلاء على موقعك
- رسم الخريطةالوكلاء الأوائل يرسمون خريطة للموقع: من أين يدخل الزوار، وأين يرسلون بياناتهم، ومن يستطيع إدارة ماذا، وأي إضافات ومكتبات كود يستخدمها الموقع
- البحثكل وكيل يتسلّم منطقة واحدة من الخريطة، ويتتبع في الكود كل ما يدخل إليها حتى المكان الذي يُحفظ فيه أو يُنفَّذ. ويعملون كلهم في الوقت نفسه
- الفحص الثانيكل نتيجة تنتقل إلى وكيل آخر لم يجدها، ومهمته أن يحاول دحضها. وما يصمد أمام هذا الفحص وحده يدخل التقرير كنتيجة مؤكدة
- التقريرأراجع النتائج وأرسل إليك تقريرًا منظمًا، مع إصلاح مقترح لكل مشكلة
ما الذي ينظر إليه الوكلاء:
- الدخول والصلاحيات. من يستطيع دخول لوحة الإدارة، وهل توجد طريقة لتجاوز كلمة المرور أو للحصول على صلاحيات أكثر مما يحق للمستخدم.
- كل ما يرسله الزوار. النماذج، ورفع الملفات، والبحث في الموقع، والتعليقات. من هنا تبدأ أغلب الاختراقات القادمة من الخارج.
- الإضافات ومكتبات الكود التي كتبها آخرون. كل إضافة كود كتبه شخص آخر، ويعمل في موقعك بالصلاحيات نفسها.
- الفصل بين بيانات العملاء. هل يستطيع عميل أن يرى طلبًا أو ملفًا أو بيانات عميل آخر.
- روبوت المحادثة أو أداة الذكاء الاصطناعي في الموقع، إن وُجدت. هل يمكن دفعها إلى كشف بيانات أو تنفيذ إجراء لم يكن من المفترض أن تملكه.
أمران من المهم أن تعرفهما. الوكلاء يقرؤون الكود، ولا يهاجمون الموقع. الموقع الحي يواصل عمله كالمعتاد، ولا يرسل إليه أحد محاولات اختراق. ولأن الفحص يجري على الكود نفسه، فهو يجد ما لا يراه الفحص من الخارج: نموذج يتحقق من نوع الملف في المتصفح فقط لا في الخادم، أو صفحة إدارة تتحقق من أنك مسجّل الدخول، لا من أنه مسموح لك.
كيف يبدو التقرير
التقرير لا يُغرقك بـ200 تنبيه. هذا ترتيبه:
- صورة الوضع. في بضع جمل: أين يقف الموقع، وما الأكثر إلحاحًا.
- نتائج مؤكدة. مشكلات اجتازت الفحص الثاني. لكل واحدة: أين هي بالضبط في الكود، وماذا يستطيع المهاجم أن يفعل بها، وما أصغر إصلاح يسدّها.
- نتائج تحتاج إلى تحقق. أمور تبدو مريبة، لكن لا يمكن إثباتها من الكود وحده. لكل منها مكتوب ما الذي يجب فحصه لحسمها.
- توصيات للتحصين. ليست ثغرات، بل أمور يحسن تحسينها حتى تكون المشكلة القادمة أصعب.
- ما هو منفّذ جيدًا. نعم، هذا أيضًا يُكتب.
- ما فُحص وما لم يُفحص. حتى تعرف بالضبط ما الذي يغطيه التقرير.
هكذا تبدو نتيجة واحدة في التقرير. هذا مثال توضيحي، وليس موقع عميل:
نموذج "أرسل سيرتك الذاتية" يقبل أي نوع من الملفات
- ماذا وجدنا
- النموذج يتحقق من نوع الملف في المتصفح فقط. والخادم يحفظ أي ملف يصله، في مجلد يمكن الوصول إليه من الخارج.
- ماذا يعني هذا لك
- من يعرف كيف يرسل ملفًا إلى الخادم مباشرة يستطيع رفع ملف يشغّل كودًا في الموقع. هكذا تبدأ عادةً التحويلات الخبيثة وصفحات السبام.
- ما الحل
- التحقق من نوع الملف في الخادم أيضًا، وحفظ الملفات في مجلد لا يشغّل الكود. الإصلاح المقترح مكتوب في التقرير.
كيف نعمل معا
أغلب أصحاب الأعمال يقلقون من الجانب التقني. في الواقع، دورك قصير:
ماذا تفعل أنت، وماذا أفعل أنا
- ترسل إليّ عنوان الموقععلى WhatsApp. لا تحتاج أن تعرف على أي منصة بُني. أعود إليك بالسعر
- تمنح صلاحية الوصول إلى الكودمستخدم SFTP أو FTP منفصل خاص بي. شركة الاستضافة أو من بنى الموقع يفتحه في بضع دقائق، وأرسل إليهم شرحًا دقيقًا. لا تعرف أين يُستضاف الموقع، أو أن من بناه لم يعد في الصورة؟ هذا يحدث كثيرًا، ونبحث عن الحل معًا
- الوكلاء يعملون، وتتسلّم التقريرلا تحتاج إلى فعل شيء، والموقع يواصل عمله كالمعتاد. خلال 3 أيام عمل من لحظة توفر الصلاحية أرسل التقرير، وأجيب عن كل سؤال، منك أو من المبرمج الذي يعمل معك
- تقرّر من يُصلحأنا، بعرض سعر منفصل، أو المبرمج الذي يعمل معك بحسب التقرير. وفي النهاية تحذف المستخدم الذي فتحته لي
موقعك مبرمج خصيصًا، دون WordPress؟ بدل FTP، تمنحني صلاحية قراءة لمستودع الكود، في GitHub مثلًا.
كم يكلف
فحص كامل وتقرير خلال 3 أيام عمل: ابتداءً من 1,000 ₪ (بالشيكل الإسرائيلي، أي نحو 1,150 درهمًا بسعر صرف نوفمبر 2026). السعر يتوقف على حجم الموقع، لأن موقعًا فيه متجر ومنطقة خاصة بالعملاء وعشرات الإضافات يحتاج إلى عمل أكثر بكثير من الوكلاء مقارنة بموقع تعريفي من خمس صفحات. ستعرف السعر الدقيق قبل أن نبدأ. والإصلاح، إن أردته، يُسعَّر بشكل منفصل بعد التقرير، بحسب ما وُجد.
الأسئلة الشائعة
هل يمكن أن يُسقط الفحص الموقع أو يبطئه؟
لا. الوكلاء يقرؤون الكود، ولا يرسلون إلى الموقع محاولات اختراق. من جهة الموقع والزوار، لا يحدث شيء.
لماذا تحتاج إلى الوصول إلى الكود؟ ألا يكفي أن أعطيك العنوان؟
من الخارج لا ترى إلا ما يعرضه الموقع. أغلب المشكلات موجودة في الكود: كيف يحفظ النموذج الملفات، ومن المسموح له أن يرى ماذا، وماذا تفعل الإضافة بالبيانات التي تصلها. دون قراءة الكود لا يبقى إلا التخمين.
هل من الآمن أن أمنحك صلاحية الوصول؟
تفتح مستخدمًا منفصلًا، للفحص فقط، ولا تعطيني كلمة المرور الخاصة بك. وإذا كانت شركة الاستضافة تتيح ذلك، يحصل المستخدم على صلاحية القراءة فقط. لا أحد خارج الفحص يرى الكود الخاص بك، وفي النهاية يُحذف المستخدم.
هل تكفي بدلًا من ذلك كلمة مرور التطبيقات في WordPress؟
كلمة مرور التطبيقات تمنح وصولًا إلى المحتوى عبر واجهة WordPress: المقالات والصفحات والمستخدمين. لكنها لا تمنح وصولًا إلى الملفات، ولا إلى كود الإضافات والقالب، وهناك توجد أغلب المشكلات. لذلك أحتاج إلى وصول SFTP أو FTP.
موقعي على Wix أو Shopify. هل هذا مناسب لي؟
بدرجة أقل. في هذه المنصات تدير الشركة نفسها الخادم وأغلب الكود، ولا يوجد وصول إليهما. إذا بُني لك كود مخصص فوق المنصة، يمكن فحصه. اكتب لي ماذا لديك، وسأقول لك إن كان هناك ما يُفحص قبل أن تدفع.
هل هذا اختبار اختراق؟
لا. اختبار الاختراق هجوم مضبوط على الموقع الحي، يجريه خبير على مدى أيام، وأحيانًا يطلبه عميل كبير أو جهة تنظيمية. هنا يقرأ الوكلاء الكود بعمق ولا يهاجمون الموقع. إذا كنت تحتاج إلى اختبار اختراق رسمي، سأخبرك بذلك قبل أن نبدأ.
متى أتسلّم التقرير؟
خلال 3 أيام عمل من لحظة توفر صلاحية الوصول إلى الكود.
ماذا لو لم يُعثر على شيء؟
تتسلّم تقريرًا يبيّن ما فُحص، وما هو منفّذ جيدًا، وأنه لم تُكتشف مشكلة. هذا ليس وعدًا بأن الموقع لن يُخترق أبدًا: غدًا قد تُنشر ثغرة جديدة في إضافة مثبّتة عندك.
من يرى التقرير؟
أنت وحدك، ومن تقرّر أن ترسله إليه.
المصادر
- Patchstack، State of WordPress Security in 2026
- Thales Imperva، 2026 Bad Bot Report
- GoDaddy، Annual Cybersecurity Report 2024
- Google Search Central، المواقع المخترقة والتحذيرات في البحث
- البوابة الرسمية لحكومة الإمارات، قوانين حماية البيانات
- Multilaw، دليل حماية البيانات في الإمارات
- Gulf News، 800 ألف محاولة هجوم يوميًا على الإمارات، أبريل 2026
- The National، إحباط هجمات منظمة على قطاعات حيوية، فبراير 2026
- The National، فدية تتجاوز 5 ملايين دولار من شركة خاصة، سبتمبر 2026
- The National، رئيس الأمن السيبراني عن تسريع الذكاء الاصطناعي للهجمات، سبتمبر 2026
- البيان، الإمارات الأكثر استهدافًا بالهجمات السيبرانية في الخليج 2026
- Mastercard، استطلاع عن الأعمال الصغيرة والمتوسطة في الإمارات، 2025
- Google Threat Intelligence، ثغرة طُوّرت بمساعدة الذكاء الاصطناعي
- Verizon، Data Breach Investigations Report
- NVD، قاعدة البيانات الوطنية الأمريكية للثغرات
- ransomware.live، إحصاءات 2026
- Check Point Research، سبتمبر 2026
- TechCrunch، أكبر الاختراقات في 2026
