OWASP Top 10 لعام 2026: ما الذي تغيّر؟

في فبراير 2026، أصدرت OWASP تحديثاً رئيسياً لقائمة Top 10 — وهي أكثر قائمة أمنية تأثيراً في العالم. بصفتي قائد فريق الأمن السيبراني في فاي، فحصت آخر 60 مشروعاً سلّمناها لأقدم لك ما الذي تغيّر فعلياً وكيف يجب أن تتفاعل فرق التطوير.

ما الأهم في تحديث 2026؟

ثلاث فئات جديدة دخلت القائمة، وفئتان انتقلتا للأعلى في الترتيب بسبب تكرار الاستغلال. أبرز المتغيرات:

• A01: Broken Access Control — بقيت في الصدارة (94% من الفحوصات تكشف عنها)
• A02: Cryptographic Failures — صعدت بسبب فشل التحديث لتشفير ما بعد الكمي
• A11 (جديدة): AI/LLM Injection — هجمات حقن على نماذج LLM
• A12 (جديدة): Supply Chain Compromise — تركيب dependencies خبيثة

A01: Broken Access Control

ما زالت الفئة الأولى. المثال الشائع: API endpoint يُعيد بيانات مستخدم آخر بمجرد تغيير ID في الرابط — IDOR كلاسيكي. في 31 من آخر 60 مشروع فحصناه، وجدنا حالة واحدة على الأقل من هذا النوع.

A07: Identification & Auth Failures

ارتفعت من المرتبة السادسة للسابعة في 2024 لتصبح الخامسة في 2026. السبب الرئيسي: انتشار تطبيقات الموبايل واستخدام JWT بطرق غير آمنة.

// ❌ خطر: لا تستخدم JWT بدون verify
const decoded = jwt.decode(token); // فقط يفك التشفير!
const userId = decoded.sub;

// ✅ آمن: استخدم verify دائماً
const decoded = jwt.verify(token, secret); // يفك ويتحقق
const userId = decoded.sub;

A11 (الجديدة): AI/LLM Injection

أهم إضافة هذا العام. مع انتشار تطبيقات تستخدم LLM، ظهرت فئة كاملة من الهجمات: Prompt Injection، Jailbreaking، وToxic Output. فاي بنت العديد من تطبيقات الذكاء الاصطناعي في 2025-2026، وهنا أهم الدروس:

• افصل دائماً تعليمات النظام عن إدخال المستخدم (Anthropic لديها prompt caching يساعد في ذلك)
• استخدم Output validation: لا تثق في ما يُخرجه الـ LLM، خاصة إن سيُنفّذ كأمر أو SQL
• Rate limiting صارم: 10 رسائل/دقيقة كحد أقصى للمستخدم العادي
• لا تُرسل بيانات حساسة في الـ context (تذكر أن الـ providers يحتفظون بالـ logs)

A12 (الجديدة): Supply Chain Compromise

في 2025 وحدها، حدث 14 هجوماً ضخماً عبر npm/pip. الحل ليس تجنب الحزم — الحل: تحقق ذكي. نوصي بـ:

# pnpm audit + snyk على كل CI
pnpm audit --audit-level=moderate
snyk test --severity-threshold=high

# Use Socket.dev لكشف الـ supply chain malicious packages
npx socket audit

خلاصة عملية

إن كنت مطوراً أو مدير منتج، إليك قائمة الإجراءات الأولوية لـ 2026:

1. أضف ZAP أو Burp إلى CI الخاص بك — يكتشف 70% من A01 و A03
2. افحص dependencies أسبوعياً — لا شهرياً
3. إن تستخدم LLM في الإنتاج: اقرأ OWASP LLM Top 10 الجديدة
4. اطلب اختبار اختراق سنوياً من جهة مستقلة — مهما كانت ثقتك بفريقك