تعزيز التمرير اللانهائي لـ WooCommerce ضد إلغاء التسلسل // نُشر في 2026-06-01 // CVE-2025-11993

اسم البرنامج الإضافي	ووكومرس إنفينيتي سكرول
نوع الضعف	ثغرة في إلغاء التسلسل
رقم CVE	CVE-2025-11993
الاستعجال	عالي
تاريخ نشر CVE	2026-06-01
رابط المصدر	CVE-2025-11993

عاجل: CVE-2025-11993 — حقن كائنات PHP في ووكومرس إنفينيتي سكرول (<= 1.8) — ما يجب على مالكي مواقع ووردبريس القيام به الآن

تاريخ: 2026-06-01
مؤلف: فريق أمان جدار الحماية WP
فئات: أمان ووردبريس، ووكومرس، ثغرة
العلامات: CVE-2025-11993، فك التسلسل، حقن كائنات PHP، ووكومرس، WAF، استجابة الحوادث

الملخص التنفيذي

تم الكشف عن ثغرة حرجة (CVE-2025-11993) في مكون ووكومرس إنفينيتي سكرول وإضافة الترقيم الآجل (الإصدارات <= 1.8). المشكلة هي فك تسلسل بيانات غير موثوقة (حقن كائنات PHP) يمكن استغلالها من قبل مستخدم مصدق لديه صلاحيات مشترك. الثغرة لها درجة CVSS تبلغ 8.8 — شدة عالية — ويمكن استغلالها بشكل واقعي في البرية. إذا تم استغلالها، يمكن أن تؤدي إلى اختراق الموقع، تنفيذ كود عن بُعد، تسريب البيانات، تصعيد الامتيازات، والاستيلاء الإداري الكامل.

إذا كنت تدير هذه الإضافة على أي موقع ووردبريس، اعتبر ذلك حالة طوارئ. يشرح هذا المنشور ما هي الثغرة، كيف يستغلها المهاجمون، خطوات الكشف والتخفيف العملية التي يمكنك تنفيذها على الفور (بما في ذلك قواعد WAF التي يمكنك نشرها)، وإرشادات تعزيز الأمان على المدى الطويل. كما نشرح كيفية استخدام WP-Firewall لحماية موقعك بينما لا يتوفر تصحيح رسمي بعد.

---

ما هي الثغرة؟

• المعرف: CVE-2025-11993
• البرامج المتأثرة: مكون ووكومرس إنفينيتي سكرول وإضافة الترقيم الآجل — الإصدارات <= 1.8
• فئة الثغرة: فك تسلسل بيانات غير موثوقة / حقن كائنات PHP
• الامتياز المطلوب: مشترك معتمد
• CVSS (المبلغ عنه): 8.8 (مرتفع)
• الحالة عند الكشف: لا يوجد تصحيح رسمي متاح في وقت كتابة هذا التقرير

باختصار: تقبل الإضافة بيانات PHP متسلسلة من المستخدمين المصدقين وتقوم بتمريرها إلى استدعاء unsafe unserialize() (أو تقوم بفك التسلسل بطريقة أخرى دون التحقق من البيانات). هذا يسمح لمهاجم يمكنه تسجيل الدخول كمشترك بإنشاء كائنات PHP متسلسلة تؤدي عند إعادة بنائها إلى استدعاء طرق سحرية خطيرة (على سبيل المثال __wakeup()، __destruct()) أو الاستفادة من سلاسل الأدوات داخل ووردبريس أو إضافات/ثيمات أخرى لاستدعاء تنفيذ كود عشوائي أو تصعيد الامتيازات.

---

لماذا هذا خطير

تعتبر ثغرات فك التسلسل خطيرة بشكل خاص في PHP لأن السلاسل المتسلسلة يمكن أن تنشئ كائنات من فئات عشوائية. إذا كانت تلك الفئات تتضمن طرق سحرية تقوم بتنفيذ تفاعلات مع الملفات أو قواعد البيانات أو النظام، يمكن للمهاجمين إنشاء كائنات متسلسلة تؤدي إلى سلوك غير مقصود من قبل التطبيق. تشمل العواقب الشائعة:

• تنفيذ كود عن بُعد (RCE) يؤدي إلى الاستيلاء الكامل على الموقع
• إنشاء مستخدمين إداريين أو تعديل حسابات موجودة
• تحميل أو تنفيذ قذائف ويب وأبواب خلفية
• سرقة البيانات (سجلات المستخدمين، الطلبات، رموز الدفع)
• تشويه الموقع أو تضمينه في حملات استغلال جماعية
• الحركة الجانبية والاستمرارية في بيئة الاستضافة

ما يجعل CVE-2025-11993 عمليًا هو أن حساب مشترك مصدق يكفي. العديد من مواقع ووكومرس تسمح بتسجيل المستخدمين أو لديها حسابات عملاء، مما يعني أن المهاجمين يمكنهم التسجيل بشكل جماعي ومحاولة الاستغلال على نطاق واسع.

---

كيف يستغل المهاجمون عادةً هذه الفئة من الثغرات

1. سجل العديد من الحسابات (إذا كانت التسجيلات مفتوحة) أو احصل على وصول مشترك عبر الهندسة الاجتماعية / حشو بيانات الاعتماد.
2. حدد نقطة النهاية المعرضة للخطر (غالبًا نقطة نهاية AJAX، مسار REST، أو نموذج محدد للإضافة) الذي يقبل البيانات المتسلسلة.
3. قم بإنشاء حمولات متسلسلة تحتوي على أنماط إنشاء كائنات PHP (مثل: O:… سلاسل). تستهدف الحمولة الفئات الموجودة في البيئة (نواة ووردبريس، أو إضافات أخرى، أو الإضافة نفسها) مع طرق سحرية تقوم بأداء إجراءات حساسة.
4. قدّم الحمولات عبر طلبات POST إلى نقطة النهاية. إذا تم استدعاء unserialize() بدون حماية، فإن PHP يعيد بناء الكائن ويستدعي أي طرق سحرية.
5. تحقيق نتيجة خبيثة (RCE، تصعيد الامتيازات، كتابة الملفات، إلخ).

غالبًا ما تتبع الحملات واسعة النطاق نصوصًا آلية تحاول سلاسل الأدوات الشائعة. يعني أن حسابات المشتركين تكفي أن المستخدمين ذوي الامتيازات المنخفضة يمكن أن يتم تسليحهم.

---

الكشف الفوري: ماذا تبحث عنه

إذا كنت تشك في محاولات أو اختراق، ابدأ بالتحقق من:

• سجلات خادم الويب لطلبات POST إلى admin-ajax.php أو نقاط النهاية الخاصة بالإضافات القادمة من مستخدمين مسجلين بسلوك مشترك.
• الطلبات التي تحتوي على أنماط حمولة متسلسلة: تطابقات regex لـ O:\d+: أو ج: أو سلاسل متسلسلة طويلة غير متوقعة في أجسام POST.
• مستخدمون جدد مشبوهون (حسابات مشتركين تم إنشاؤها بكميات كبيرة مع رسائل بريد إلكتروني متسلسلة).
• نشاط غير عادي من قبل المستخدمين العاديين: أحداث إعادة تعيين كلمة المرور، عمليات شراء مع بيانات وصفية غير عادية، تغييرات مفاجئة في بيانات المستخدم.
• تعديلات على الملفات في wp-content/uploads و wp-content/plugins وملفات PHP الأساسية. تحقق من الطوابع الزمنية والملفات غير المعروفة (خاصة ملفات .php).
• وظائف cron المعدلة، الأحداث المجدولة غير المعروفة (مدخلات cron في wp_options)، أو الإضافات إلى mu-plugins.
• اتصالات صادرة من الموقع (إذا كان الاستضافة تسمح بالسجلات)، خاصة إلى مجالات/IPs مشبوهة.

مثال سريع للبحث (على شل مع وصول إلى السجلات أو كود الإضافة):

# ابحث في دليل الإضافات عن الاستخدامات غير الآمنة لـ unserialize

---

خطوات التخفيف الفورية (ترتيب الأولوية)

1. قم بأخذ لقطة للموقع / نسخة احتياطية الآن (الملفات + قاعدة البيانات). إذا تم اختراق الموقع، ستحتاج إلى نسخة غير قابلة للتغيير للتحليل الجنائي.
2. إذا كان بإمكانك القيام بذلك بأمان، قم بإلغاء تنشيط الإضافة الضعيفة مؤقتًا. هذه هي أكثر طرق التخفيف موثوقية.
   • لوحة تحكم WP: الإضافات → إلغاء تنشيط WooCommerce Infinite Scroll
   • WP-CLI:

     wp إضافة تعطيل sb-woocommerce-infinite-scroll
     

3. إذا لم تتمكن من إلغاء التنشيط (بسبب قيود الموقع)، قم بتقييد الوصول:
   • تعطيل التسجيل العام إذا كان مفعلًا.
   • تقييد الوصول إلى الموقع مؤقتًا للمستخدمين المسجلين حسب الدور (أو للمسؤولين فقط).
4. فرض إعادة المصادقة وإعادة تعيين بيانات الاعتماد الحرجة:
   • إعادة تعيين جميع كلمات مرور المسؤولين والحسابات ذات الامتيازات العالية.
   • فرض إعادة تعيين كلمة المرور للمستخدمين الذين لديهم نشاط مشبوه.
   • تدوير مفاتيح API وبيانات اعتماد الخدمات الخارجية المستخدمة من قبل الموقع.
5. فحص مؤشرات الاختراق (أصداف الويب، الملفات المشبوهة). إذا تم العثور عليها، عزل الموقع، وإيقافه عن العمل، والمضي قدمًا في التنظيف باستخدام نسخة احتياطية نظيفة معروفة.
6. وضع قاعدة WAF مستهدفة (انظر القسم أدناه) لحظر محاولات الاستغلال ضد نقاط النهاية الضعيفة.
7. مراقبة السجلات عن كثب بحثًا عن أنماط متكررة، تسجيلات مستخدمين جدد، وتغييرات في الأحداث المجدولة.

---

التخفيفات الموصى بها لـ WAF (القواعد والأمثلة)

إذا لم تتمكن من إزالة أو تصحيح المكون الإضافي على الفور، يمكن أن تمنع التصحيحات الافتراضية باستخدام قواعد WAF محاولات الاستغلال. فيما يلي أفكار قواعد مقترحة وأمثلة على قواعد بأسلوب ModSecurity. يرجى تعديلها لتناسب بيئتك واختبارها بحثًا عن إيجابيات كاذبة.

استراتيجية عالية المستوى:

• حظر أجسام POST التي تحتوي على أنماط كائنات PHP المسلسلة (O:\d+:").
• حظر أو تحدي الطلبات إلى مسارات AJAX أو REST الخاصة بالمكون الإضافي من المشتركين المعتمدين إذا لم تكن مطلوبة.
• طلب nonce صالح لإجراءات AJAX (إذا لم يفرضها المكون الإضافي).
• تحديد معدل وتحدي الإجراءات من الحسابات الجديدة.

مثال على قاعدة ModSecurity (مفاهيمي):

# حظر كائنات PHP المسلسلة في جسم POST (منع محاولات الاستغلال البسيطة)"

قاعدة مثال لسوء استخدام admin-ajax في WordPress:

# حظر مكالمات admin-ajax المشبوهة التي تحتوي على كائنات مسلسلة"

قاعدة مثال لحظر نقطة نهاية REST خاصة بالمكون الإضافي (استبدل بالمسار الفعلي إذا كان معروفًا):

# حظر الوصول إلى نقطة نهاية المكون الإضافي التي تقبل البيانات المسلسلة"

ملاحظات تنفيذية مهمة:

• هذه القواعد دفاعية وقد تسبب إيجابيات خاطئة إذا كانت البيانات الشرعية تتضمن سلاسل ‘O:...’ (نادراً). اختبر بعناية على بيئة الاختبار.
• استخدم تحديد المعدل والتحدي (CAPTCHA) للحسابات المشبوهة بدلاً من الحظر المباشر في سيناريوهات إيجابية خاطئة عالية المخاطر.
• إذا كنت تستخدم WAF مُدار، اطلب تصحيحًا افتراضيًا مخصصًا باستخدام هذه المؤشرات من فريق الأمان لديك.

---

خوارزميات دفاعية قصيرة يمكنك إضافتها إلى WordPress (نشر سريع)

إذا كان بإمكانك إضافة مكون إضافي صغير أو mu-plugin لحظر الحمولة POST المشبوهة، استخدم هذا النهج. هذه وسيلة عملية مؤقتة - ليست حلاً.

<?php
// mu-plugins/stop-serialized-objects.php
add_action('init', function() {
    if ( $_SERVER['REQUEST_METHOD'] !== 'POST' ) return;
    $body = file_get_contents('php://input');
    if ( ! $body ) return;
    if ( preg_match('/O:\s*\d+\s*:|C:\s*\d+\s*:/i', $body) ) {
        // optional: log attempt for analysis
        error_log('Blocked suspicious serialized payload from ' . $_SERVER['REMOTE_ADDR']);
        wp_die('Suspicious request blocked', 'Blocked', array('response' => 403));
    }
}, 1);

ملحوظات:

• ضع الملف في wp-content/mu-plugins/ بحيث يتم تحميله قبل تشغيل المكونات الإضافية.
• هذا يمنع أي POST يحتوي على سلاسل كائنات متسلسلة نموذجية - يقلل من فرصة الاستغلال ولكنه قد يتداخل مع التكاملات الشرعية التي تقدم PHP متسلسلة (نادراً).
• قم بإزالة أو تحسينه بمجرد تطبيق التصحيح الرسمي.

---

لمطوري المكونات الإضافية: كيفية إصلاح هذه الفئة من الأخطاء

1. لا تتصل أبداً بـ unserialize() على بيانات غير موثوقة. إذا كان يجب عليك فك التسلسل، ففضل JSON:

   // استخدم json_decode() للبيانات الهيكلية من العملاء
   

2. إذا كان يجب عليك استخدام unserialize(), ، استخدم خيار allowed_classes (PHP 7+):

   $data = @unserialize($raw, ['allowed_classes' => false]); // منع الكائنات تمامًا
   

3. تحقق من صحة وتنظيف جميع المدخلات قبل فك التسلسل. تحقق من الأنواع، نطاقات القيم، المفاتيح المتوقعة.
4. فرض التحقق من القدرة وnonce على نقاط نهاية AJAX وREST:

   check_ajax_referer('your_action_nonce', 'security');
   

5. تجنب استخدام البيانات المتسلسلة المقدمة من المستخدم للعمليات ذات الحالة؛ احتفظ بحالة الخادم باستخدام الخيارات، أو المتغيرات المؤقتة، أو بيانات المستخدم بدلاً من ذلك.
6. اكتب اختبارات وحدات تحاول فك تسلسل الحمولة الضارة لضمان سلوك آمن.

---

قائمة التحقق من الكشف والاسترداد (خطوة بخطوة)

إذا كنت تشك في الاختراق:

1. لقطة وعزل:
   • قم بعمل نسخة احتياطية كاملة من الملفات وقاعدة البيانات على الفور واحفظها خارج الخادم.
   • ضع الموقع في وضع الصيانة/غير متصل إذا كان ذلك ممكنًا.
2. تحديد النطاق:
   • تحقق من سجلات خادم الويب وسجلات ووردبريس للطلبات المشبوهة (حمولات مسلسلة).
   • قائمة الملفات التي تم تعديلها مؤخرًا:

     find . -type f -mtime -30 -print
     

   • ابحث عن مستخدمين إداريين تم إضافتهم حديثًا أو تصعيدات في الأدوار.
3. تحتوي على:
   • قم بإلغاء تنشيط المكون الإضافي المعرض للخطر.
   • إذا لزم الأمر، قم بتعطيل التسجيل العام مؤقتًا وإزالة المشتركين المشبوهين.
   • قم بتغيير جميع بيانات الاعتماد الخاصة بالإدارة/FTP/الاستضافة/قاعدة البيانات.
4. تنظيف:
   • قم بإزالة ملفات PHP غير المعروفة (فقط بعد التحقق).
   • استبدل ملفات ووردبريس الأساسية من مصدر رسمي ونظيف.
   • أعد تثبيت الإضافات والسمات من مصادر موثوقة.
   • إذا كانت هناك أبواب خلفية مستمرة، فكر في الاستعادة إلى نسخة احتياطية نظيفة.
5. إعادة التقييم:
   • أعد المسح باستخدام أداة موثوقة للكشف عن البرمجيات الضارة.
   • قم بإجراء فحص لسلامة الملفات وقارنها بنسخة معروفة جيدة.
6. بعد الحادث:
   • قم بتدقيق وتدوير أي مفاتيح/أسرار خارجية مستخدمة من قبل الموقع.
   • راجع سجلات الاستضافة لمحاولات التمحور من قبل المهاجمين.
   • قم بإجراء مراجعة أمنية واستراتيجية إدارة التصحيحات.

---

قائمة التحقق من تعزيز الأمان (الوقاية على المدى الطويل)

• فرض مبدأ أقل الامتيازات لحسابات المستخدمين. تجنب منح العملاء وصولاً إداريًا.
• استخدم كلمات مرور قوية وفريدة من نوعها وفرض سياسات كلمات مرور قوية.
• تفعيل المصادقة الثنائية للمسؤولين.
• حافظ على تحديث نواة ووردبريس والسمات والإضافات. راقب إعلانات البائعين لأي ثغرات.
• قيد استخدام الإضافات إلى الامتدادات المدارة جيدًا والمُدعمة بنشاط. قم بإزالة الإضافات/السمات غير المستخدمة.
• قم بتمكين حماية كتابة الملفات حيثما كان ذلك ممكنًا (مثل، تأمين wp-config.php، عدم السماح حدد('منع تحرير الملف'، صحيح)؛).
• استخدم WAF مع قدرات التصحيح الافتراضي واحتفظ بقواعد مخصصة لنقاط النهاية عالية المخاطر.
• راقب السجلات بحثًا عن الشذوذ وقم بإعداد تنبيهات للنشاط المشبوه.
• قم بعمل نسخ احتياطية بانتظام واختبر إجراءات الاستعادة.

---

مثال: تأكيد ثغرة المكون الإضافي على موقعك

استخدم WP-CLI لرؤية إصدارات المكونات الإضافية المثبتة:

# قائمة المكون الإضافي والإصدار

إذا كانت النسخة المعادة هي 1.8 أو أقل، اعتبرها معرضة للخطر حتى يقوم البائع بإصدار نسخة مصححة.

ابحث في كود المكون الإضافي عن استخدام unserialize:

grep -RIn "unserialize" wp-content/plugins/sb-woocommerce-infinite-scroll || true

إذا وجدت unserialize() بدون تحقق أو حماية allowed_classes — فهذه دليل قوي على الثغرة.

---

ماذا تفعل إذا كنت تعتمد على مزود استضافة أو وكالة

• أبلغ مضيفك على الفور واطلب منهم حظر حركة الاستغلال إلى موقعك.
• اطلب منهم تطبيق تصحيح افتراضي أو قاعدة WAF مخصصة لحظر محاولات الاستغلال لنقطة النهاية المتأثرة.
• اعمل مع مطورك لإزالة أو تعطيل المكون الإضافي حتى يتم إصدار تصحيح آمن.
• إذا كنت تستضيف مواقع متعددة على نفس الحساب، اعتبرها جميعًا معرضة للخطر حتى تكتمل التحقيقات.

---

الجدول الزمني للاستجابة للحوادث (موصى به)

• الساعة 0: قم بعمل نسخة احتياطية من الموقع، قم بإلغاء تنشيط المكون الإضافي، قيد التسجيلات، غير كلمات المرور للمسؤولين.
• الساعة 1–6: ضع تصحيح WAF الافتراضي في مكانه (حظر أنماط الكائنات المسلسلة)، أو نشر مقتطف MU-plugin لحظر الطلبات.
• اليوم 1: قم بتشغيل فحص كامل للبرامج الضارة، ابحث عن المؤشرات، وابدأ قائمة التحقق الجنائية.
• اليوم 1–3: ابحث عن الاستمرارية (الأحداث المجدولة غير المعروفة، mu-plugins، الملفات الأساسية المعدلة).
• اليوم 3-7: قم بتنظيف أو استعادة من نسخة احتياطية نظيفة؛ إعادة تفعيل الخدمات مع المراقبة.
• الأسبوع 1+: قم بتقوية الموقع وفقًا لقائمة التحقق ومراقبة السجلات لإعادة المحاولات.

---

لماذا لا يجب أن تعتمد فقط على توفر التصحيحات

حتى بعد أن يصدر البائع تصحيحًا، يمكن أن تظل المواقع عرضة للخطر لفترات طويلة بسبب التحديثات المتأخرة، أو سير عمل تحديثات المرحلة/الإنتاج، أو الاتصالات المفقودة. يوفر التصحيح الافتراضي (WAF)، والتقوية، والمراقبة دفاعًا عميقًا. قد تتضمن سلسلة الاستغلال عدة مكونات إضافية - لذا فإن تصحيحًا واحدًا لا يلغي الحاجة إلى المراقبة المستمرة وحماية WAF.

---

كيف يساعد WP-Firewall أثناء انتظارك لتصحيح البائع

قمنا ببناء WP-Firewall كدفاع متعدد الطبقات لمواقع WordPress. توفر منصتنا:

• WAF مُدار مع القدرة على نشر تصحيحات افتراضية مستهدفة للثغرات الجديدة مثل CVE-2025-11993.
• مجموعات قواعد لاكتشاف وحظر حمولات الكائنات المتسلسلة وتوقيعات استغلال محددة للمكونات الإضافية.
• فحوصات سلامة الملفات وفحوصات البرامج الضارة المجدولة.
• تنبيهات الحوادث التي تتكامل مع البريد الإلكتروني وSlack.
• خطوات التخفيف الموجهة للمطورين ومالكي المواقع.

إذا لم تتمكن من تصحيح أو إزالة المكون الإضافي على الفور، فإن وضع WAF مُدار أمام موقعك يقلل بشكل كبير من فرصة الاستغلال الناجح أثناء قيامك بالتنظيف وانتظار إصلاح رسمي للمكون الإضافي.

---

جديد: احمِ موقعك مجانًا - اشترك في خطة WP-Firewall Basic

عنوان: قم بتأمين موقعك اليوم مع حماية أساسية، دائمًا مفعلة

نحن نفهم أن العجلة مهمة. توفر خطتنا الأساسية (مجانية) حماية أساسية حتى تتمكن من تقليل المخاطر على الفور أثناء عملك على التصحيح والتنظيف. تشمل الخطة المجانية:

• جدار ناري مُدار وقواعد WAF يمكن تحديثها في الوقت الحقيقي
• حماية النطاق الترددي غير المحدود
• ماسح ضوئي للبرامج الضارة لاكتشاف الملفات المشبوهة
• التخفيف من مخاطر OWASP العشرة الكبرى

إذا كنت تفضل المزيد من الأتمتة، تضيف خططنا المدفوعة إزالة البرامج الضارة التلقائية، وقوائم الحظر/القوائم البيضاء لعناوين IP، وتقارير أمان شهرية، وتصحيح افتراضي للثغرات بشكل تلقائي. ابدأ بالخطة الأساسية المجانية وترقية عندما تكون جاهزًا: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

---

التوصيات النهائية (قائمة مراجعة سريعة)

• إذا كنت تستخدم WooCommerce Infinite Scroll <= 1.8: تحمل المخاطر وتصرف الآن.
• قم بتعطيل المكون الإضافي إذا كان ذلك ممكنًا.
• إذا لم تتمكن من إلغاء التنشيط: أضف المكون الإضافي mu-plugin stop-serialized-objects أو ضع قاعدة WAF لحظر حمولات الكائنات المتسلسلة.
• فرض تغييرات كلمة المرور للحسابات المميزة ومراجعة جميع حسابات المستخدمين بحثًا عن نشاط مشبوه.
• قم بعمل نسخة احتياطية من موقعك على الفور وابدأ في الفحوصات الجنائية.
• اشترك في خدمة WAF المدارة أو خدمة الأمان (خطة الأساس المجانية لدينا تحمي المواقع بينما تقوم بإصلاحها).

---

المراجع والقراءات الإضافية

• قائمة CVE الرسمية: CVE-2025-11993
• وثائق مطوري WordPress: أمان AJAX، الرموز غير المتكررة، المستخدمون والقدرات
• دليل PHP: خيارات unserialize() (allowed_classes، إزالة السلوك غير الآمن)
• OWASP: إرشادات حول هجمات إلغاء التسلسل والحقن

---

إذا كنت بحاجة إلى مساعدة الآن، فإن فريق دعم WP-Firewall لدينا متاح للمساعدة في التصحيح الافتراضي، وإرشادات استجابة الحوادث، والتنظيف المدارة. يمكننا نشر قواعد مؤقتة مصممة لموقعك وتقديم دعم تصحيح خطوة بخطوة حتى تتمكن من تقليل المخاطر في دقائق، وليس أيام.