وصله‌های امنیتی (Security patches) به جای بستن حفره‌ها، به نقشه‌راهی برای مهاجمان تبدیل شده‌اند. تحقیقات نشان می‌دهد که بخش قابل توجهی از اصلاحیه‌های منتشر شده، ناقص هستند یا امکان دور زدن (Bypass) آن‌ها وجود دارد.
تحقیقات نشان می‌دهد که نرخ گزارش «اصلاحیه‌های معیوب» (Broken fixes) در پروژه‌های متن‌باز (Open-source) در گیت‌هاب، نسبت به سال‌های گذشته رشد چشمگیری داشته است. نکته قابل توجه این است که وصله‌های مربوط به آسیب‌پذیری‌های موجود در لیست CISA (Known Exploited Vulnerabilities)، چهار برابر بیشتر از سایر آسیب‌پذیری‌های همان شرکت‌ها با مشکل مواجه می‌شوند. دلیل این امر توجه بالای پژوهشگران و مهاجمان به این دسته از وصله‌ها است که باعث می‌شود سریع‌تر حفره‌های باقی‌مانده در آن‌ها پیدا شود.
ضعف در روش‌های مبتنی بر لیست سیاه (Blocklist)
آسیب‌پذیری‌هایی که اصلاحیه آن‌ها تنها بر پایه مسدود کردن ورودی‌های خاص (Blocklist) است، مانند SSRF (Server-Side Request Forgery) و Prototype Pollution، بیشترین نرخ شکست را دارند. زمانی که یک لیست سیاه تمام حالت‌های ورودی مخرب را پیش‌بینی نکند، مهاجم تنها با یافتن یک حالت جدید می‌تواند از آن عبور کند.
- مثال Roundcube: توسعه‌دهندگان این نرم‌افزار برای رفع یک آسیب‌پذیری SSRF (CVE-2026-35540)، تلاش کردند آدرس‌های خصوصی را مسدود کنند، اما این روش به دلیل عدم پوشش تمام روش‌های نگارش آدرس، با شکست مواجه شد و نیاز به چندین اصلاحیه دیگر در ماه‌های بعد داشت.
- مثال مایکروسافت: وصله مربوط به آسیب‌پذیری Windows Shell که توسط گروه APT28 مورد استفاده قرار گرفته بود، توسط مهاجمان دور زده شد. این موضوع نشان می‌دهد که وصله‌ها گاهی تنها ظاهر مشکل را می‌پوشانند بدون اینکه علت ریشه‌ای (Root cause) را برطرف کنند.
توصیه‌های امنیتی برای سازمان‌ها
به توسعه‌دهندگان توصیه می‌شود پیش از انتشار هر وصله، از روش Diff-hunting استفاده کنند تا اطمینان حاصل شود که مشکل ریشه‌ای برطرف شده است. همچنین، مدیران امنیت (SOC Managers) و سازمان‌ها نباید صرفاً به گزارش‌های اسکنرها اکتفا کنند؛ با توجه به اینکه مهاجمان بلافاصله پس از انتشار وصله، به دنبال راه‌های دور زدن آن هستند، تست‌های مداوم پس از اعمال وصله ضروری است.
