قيّمنا الوضع الأمني لعشرات مواقع الشركات السعودية في إطار اختبارات الاختراق. نفس الثغرات تظهر مراراً.
1. إصدارات CMS والإضافات القديمة
مواقع ووردبريس تشغّل إضافات من 2020 هي نقطة الدخول الأكثر شيوعاً. التحديثات التلقائية معطلة، لا أحد يراقب CVEs، وسطح الهجوم ضخم.
2. بيانات اعتماد افتراضية لم تُغيّر
لوحات الإدارة وأدوات إدارة قواعد البيانات وبوابات التحكم بالخادم بكلمات مرور افتراضية. نجدها في 1 من كل 3 مواقع شركات صغيرة سعودية.
3. غياب رؤوس أمان HTTP
Content-Security-Policy وX-Frame-Options وStrict-Transport-Security. تكلفة تهيئتها صفر وتمنع فئات كاملة من الهجمات. نادراً ما نراها مهيأة صحيحاً.
4. حقن SQL في الاستعلامات
يجب أن يكون هذا مشكلة محلولة في 2026. ليس كذلك. نجد ثغرات حقن SQL قابلة للاستغلال بانتظام — غالباً في لوحات إدارة مخصصة بنتها مستقلون.
5. غياب خطة النسخ الاحتياطي والاسترداد
ليست ثغرة هجوم مباشرة، لكن عواقب الهجوم الناجح بدون نسخ احتياطية مختبرة كارثية. رأينا شركات تخسر سنوات من البيانات لبرامج فدية كانت النسخ الاحتياطية ستجعلها حادثة بسيطة.