تتناول معظم قصص الأمن في هذه النشرة أمورًا تحدث لك مباشرةً: رسالة نصية تصيدية، أو كلمة مرور مسرّبة، أو موقع تسوق مزيف. أما هذه القصة فمختلفة. فقد وقعت الحوادث أدناه للمطورين — الأشخاص الذين يكتبون التطبيقات والخدمات التي تستخدمها كل يوم. لكن سبب إدراجها هنا بسيط: إذا سمّم شخص ما الأدوات المستخدمة لبناء البرمجيات، فلن يبقى السم مع البنّاء. بل سيُشحن مع المنتج.

حدث أمران مؤخرًا يوضحان ذلك. ولم يتصدّر أيٌّ منهما عناوين الأخبار كما يحدث في عملية اختراق كبيرة، لأن أيًّا منهما ليس اختراقًا لك أنت تحديدًا. فكلاهما هجوم على المسار الذي ينتج البرمجيات التي ستثبّتها أو تفتحها أو تسجّل الدخول إليها في نهاية المطاف.

إضافات مقلّدة تتنكر في هيئة علامات تجارية موثوقة

Open VSX هو سوق عام لإضافات محررات الأكواد — وهي إضافات صغيرة يثبّتها المطورون للحصول على الإكمال التلقائي، وفحص الأكواد، وعمليات التكامل مع الأدوات التي يستخدمونها يوميًا (ويستمد Visual Studio Code والعديد من نظرائه مفتوحي المصدر إضافاتهم منه). في الفترة بين 26 يوليو و1 أغسطس 2026، عثر باحثو الأمن في Manifold Security على 77 إضافة مقلّدة في السجل. نسخت كل واحدة منها اسم ونطاق إضافة حقيقية موثوقة، لكنها نُشرت من حساب لا يملك الإضافة الأصلية — وهي حركة انتحال كلاسيكية تُسمى أحيانًا الاستيلاء على النطاق.

لم تكن الأسماء المستولى عليها عشوائية. فقد استعارت هويات AMD وLEGO Education وHyperledger وAzure وArtsy ومشروعات Salesforce مفتوحة المصدر ووكالة اتحادية أمريكية — وبمفارقة قاتمة نوعًا ما — سوق الإضافات نفسه. اتصلت كل حزمة من الحزم الـ77 بنطاق واحد كان قد سُجّل قبل 11 يومًا فقط من ظهور أول حزمة مزيفة، وهو نمط يشير إلى حملة منسقة ومصممة لغرض محدد، لا إلى تقليد انتهازي.

فعلت معظم الإضافات المزيفة شيئًا محدودًا: إذ أبلغت بهدوء عن اسم المضيف إلى خادم المهاجم، وهو أمر قد لا يكون بحد ذاته سوى فحص لمعرفة من ثبّت الطُعم. لكن الباحثين وجدوا أن نحو ربع الحزم الـ77 — أي 19 حزمة — ذهبت إلى أبعد من ذلك. فبعد ثوانٍ من التفعيل، جمعت اسم المضيف، واسم مستخدم نظام التشغيل، وتفاصيل المحرر، ومعرّف الجهاز. ثم قرأت أي مشروع كان المطور قد فتحه: مستودع git البعيد (الذي يكشف المؤسسة ومضيف المستودع)، ونطاق بريد الالتزام، والفرع الحالي، وآخر التزام. كما استخرجت قيم التكامل المستمر — بيانات الاعتماد والإعدادات التي تتيح للأنظمة المؤتمتة بناء الأكواد ونشرها من دون أن يكتب إنسان كلمة مرور في كل مرة.

لا تفيد أيٌّ من تلك البيانات في استنزاف الحساب المصرفي لشخص ما. لكنها مفيدة لشيء آخر: معرفة الشركات التي يعمل لديها المطور، وشكل بنيتها التحتية الداخلية، وكيفية الحصول على موطئ قدم فيها.

ثغرة بتقييم 9.8 من 10 في الجهاز الذي يبني البرمجيات

يتعلق الحادث الثاني بـ TeamCity، وهي منصة للتكامل المستمر والتسليم المستمر (CI/CD) من صنع JetBrains. فإذا كان محرر الأكواد هو المكان الذي يكتب فيه المطورون البرمجيات، فإن منصة CI/CD هي أرضية المصنع المؤتمتة التي تُجمَّع فيها تلك الأكواد وتُختبر وتُدفع إلى بيئة الإنتاج — وغالبًا من دون أن ينقر أي إنسان على «النشر» إطلاقًا. وتُعد TeamCity جزءًا محوريًا من تلك الآلية في كثير من الشركات.

كُشف عن ثغرة تتبعها المعرّف CVE-2026-63077، بدرجة خطورة تبلغ 9.8 من 10 ممكنة، في الإصدارات المحلية من TeamCity. وهي خلل في إلغاء التسلسل — فئة من الأخطاء يثق فيها البرنامج بالبيانات الواردة بما يكفي لتحويلها مباشرةً إلى كود قيد التشغيل، من دون التحقق أولًا من ماهية تلك البيانات فعلًا. وعمليًا، أتاحت للمهاجم إرسال طلب إلى خادم TeamCity ضعيف، من دون الحاجة إلى تسجيل الدخول، وتشغيل أوامر عشوائية بالامتيازات نفسها التي تتمتع بها خدمة TeamCity. أصدرت JetBrains تصحيحات (الإصداران 2025.11.7 و2026.1.3، إضافة إلى مكوّن تصحيح للتثبيتات الأقدم من 2017.1 فأحدث)، لكن وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) حذّرت منذ ذلك الحين من أن المهاجمين يستغلون الأنظمة غير المصححة بنشاط.

من يسيطر على خادم بناء الشركة يسيطر على ما تشحنه تلك الشركة. هذه ليست فرضية — بل هي الوظيفة الحرفية للأداة.

الخطة نفسها، بابان مختلفان

هاتان حادثتان غير مرتبطتين، رصدهما باحثون مختلفون، لكنهما تتخذان شكلًا متشابهًا. لا يهاجم أيٌّ منهما منتجًا نهائيًا. فكلاهما يهاجم خطوة أسبق — المحرر الذي يكتب فيه المطور الكود، أو الخادم الذي يحوّل ذلك الكود إلى إصدار يُشحن. وهذه هي السمة المميزة لهجوم سلسلة توريد البرمجيات: فبدلًا من اقتحام هدف واحد، تُخترق جهة upstream تعتمد عليها أهداف كثيرة، ويُترك لإجراءاتها الموثوقة أن تنقل وصول المهاجم إلى الأمام نيابةً عنه.

من المفيد أن نكون صريحين بشأن ما لا نعرفه بعد. فلم يكشف أيٌّ من التقريرين اللذين ظهرا هذا الأسبوع عن حالة مؤكدة لاختراق تطبيق أو مستخدم لاحق نتيجة مباشرة لذلك — إذ تبدو حملة الإضافات كأنها استطلاع وجمع لوسائل الوصول، بينما وُصف استغلال TeamCity بأنه نشط، لكن من دون تسمية ضحايا. وهذا أمر طبيعي؛ فكثيرًا ما تُكتشف اختراقات سلسلة التوريد عند نقطة الدخول قبل وقت طويل من (أو بدلًا من) تتبّع العائد النهائي.

لماذا تُعد هذه مشكلتك أنت، لا مشكلتهم وحدهم

ربما لن تثبّت أبدًا إضافة للبرمجة أو تدير خادم CI/CD. لكنك تستخدم مخرجات مئات منها: تطبيقك المصرفي، ومدير كلمات مرورك، وبوابة مدرسة طفلك، والمتصفح الذي تقرأ هذا النص من خلاله. لقد مرّ كل ذلك عبر محرر أحد المطورين وخط أنابيب بناء إحدى الشركات قبل أن يصل إلى هاتفك. وإذا جرى اختراق أيٍّ من هاتين الحلقتين خفيةً، فقد يركب التغيير الخبيث مع تحديث برمجيات عادي وروتيني — من النوع الذي تثبّته لأنك قيل لك إن التحديث هو التصرف الآمن.

وهذا أيضًا سبب أن النصائح الواردة في تقرير ما بعد الاختراق تبدو أحيانًا غريبة للقراء غير التقنيين: تقول شركة إن أنظمتها اختُرقت عبر خادم بناء، أو بيانات اعتماد مطور مسروقة، أو تبعية خبيثة، وقد يبدو ذلك مجردًا مقارنةً بعبارة «لقد خمّن شخص ما كلمة مروري». لكنه ليس مجردًا. فالنتيجة واحدة — اختراق بياناتك أو سلامة تطبيقك — لكنها وصلت عبر باب لم تكن تعلم بوجوده قط.

ما الذي يساعد فعلًا

لا يمكنك تدقيق خط أنابيب CI/CD الخاص بمصرفك، ولا ينبغي أن تضطر إلى ذلك. لكن بعض العادات تقلل فعلًا من تعرضك لهذا النوع من المخاطر:

أبقِ التحديثات التلقائية مفعّلة، لكن لا تعتبر التحديثات موثوقة تلقائيًا. تصلح التصحيحات إصلاحات مثل إصلاح TeamCity المذكور أعلاه إلى البرمجيات التي تشغّلها — فالبقاء على الإصدار الأحدث يغلق النوافذ التي يستطلعها المهاجمون بنشاط. وفي الوقت نفسه، لا يكون التحديث أفضل من خط الأنابيب الذي أنتجه، وهو بالضبط الشيء المستهدف هنا؛ ولا توجد حماية فردية مثالية ضد إصدار لاحق ملوّث حقًا، ولهذا فهذه مشكلة تقع أساسًا على عاتق المورّد، لا عليك.

إذا كنت تعمل مع المطورين أو تديرهم، فهناك أمران ملموسان يمكن التحقق منهما: تأكد من تثبيت أي إضافة لمحرر الأكواد من حساب الناشر الموثّق الفعلي، لا من مجرد اسم مطابق (تعرض Open VSX والأسواق المماثلة هوية الناشر — فتحقق منها، ولا تثق بالأيقونة والعنوان وحدهما)؛ وإذا كانت مؤسستك تشغّل TeamCity محليًا، فتأكد اليوم من أنه على الإصدار 2025.11.7 أو 2026.1.3، أو من تطبيق مكوّن التصحيح، لا في نافذة الصيانة التالية — فتحذير CISA يعني أن الاستغلال يحدث بنشاط، وليس أمرًا نظريًا.

أما بالنسبة إلى الجميع، فالتغيير المفيد هو مجرد الوعي: عندما تقرأ عن اختراق شركة يعود سببه إلى «أداة مطور مخترقة» أو «نظام بناء»، فهذه ليست حاشية تقنية متخصصة. إنها الفئة نفسها من الأحداث التي تشمل اختراقات كلمات المرور وعمليات التصيد الاحتيالي التي تتناولها هذه النشرة بوتيرة أكبر — لكنها بدأت على بُعد طبقة واحدة إضافية upstream، قبل أن يصل المنتج إليك أصلًا.