← Back to Blog

إحاطة أمنية، 11 أبريل 2026: هجوم سلسلة التوريد على CPUID، أجهزة Rockwell PLC المكشوفة، قرصنة الرواتب، ثغرة Marimo RCE، وتشفير Gmail الطرفي على الجوال

إشارة هذا الصباح قبيحة ومألوفة: أدوات موثوقة، وأنظمة تحكم صناعي مكشوفة، وجلسات مسروقة، وتسليح شبه فوري. النقطة المضيئة الوحيدة هي أن البريد الآمن افتراضيًا أصبح أخيرًا أكثر عملية على الجوال.

---

---

1. تم تسميم سلسلة تنزيلات CPUID

اخترق المهاجمون واجهة API ثانوية لدى CPUID لمدة تقارب ست ساعات، وبدّلوا روابط التنزيل الرسمية بحيث يُعاد توجيه مستخدمي CPU-Z وHWMonitor إلى مُثبّت HWiNFO مُطعَّم ببرمجية خبيثة. وقال الباحثون إن البرمجية متعددة المراحل وشديدة الإخفاء ومرجّح أنها تركز على سرقة المعلومات. وتقول CPUID إن ملفاتها الأصلية الموقعة لم تُعدَّل، لكن حدود الثقة انهارت أصلًا، وهذا هو الجزء المهم فعلًا.

• تحقق من الهاشات والتواقيع حتى عند تنزيل الأدوات الرسمية.
• راقب تشغيل المُثبّتات غير المتوقعة من مسارات أدوات العتاد.
• راجع التنبيهات المرتبطة بعينات HWiNFO المُسممة.

---

2. ما يقارب 4,000 جهاز Rockwell PLC أمريكي ما تزال مكشوفة على الإنترنت

حذرت وكالات فيدرالية من أن جهات مرتبطة بإيران تستهدف منذ مارس أجهزة Rockwell Automation وAllen-Bradley PLC، متسببة في تعطيل العمليات والتلاعب بشاشات HMI وSCADA. وبعد ذلك أحصت Censys عدد 5,219 مضيفًا مكشوفًا عالميًا، بينها 3,891 في الولايات المتحدة. هذه ليست مجرد أرقام سيئة، بل دعوة مفتوحة قائمة بحد ذاتها.

• ضع أجهزة PLC خلف جدران نارية أو افصلها عن الإنترنت العام.
• راجع سجلات OT بحثًا عن وصول خارجي وحركة مريبة على منافذ OT.
• افرض MFA وعطّل الخدمات البعيدة غير المستخدمة على مسارات OT.

---

3. Storm-2755 يسرق الرواتب، لا مجرد الوصول إلى البريد

تقول Microsoft إن Storm-2755 استخدم صفحات تصيد Microsoft 365 بأسلوب adversary-in-the-middle، وسرقة cookies الجلسات، وقواعد بريد مخفية، وهندسة اجتماعية خاصة بالإيداع المباشر لتحويل رواتب موظفين كنديين. والدرس هنا مباشر: المصادقة متعددة العوامل التقليدية لا تنقذك عندما يسرق المهاجم الجلسة الموثقة نفسها.

• انقل مستخدمي الموارد البشرية والرواتب إلى MFA مقاومة للتصيد.
• ابحث عن قواعد بريد تخفي رسائل الإيداع المباشر والبنوك.
• ألغِ الرموز المسروقة بسرعة وأعد ضبط وسائل التحقق بعد أي اشتباه بالاختراق.

---

4. تم استغلال Marimo CVE-2026-39987 تقريبًا فورًا

رصدت Sysdig استغلال ثغرة التنفيذ عن بُعد قبل المصادقة في Marimo خلال 9 ساعات و41 دقيقة فقط من الإفصاح العام. وكانت الثغرة في نقطة WebSocket المسماة /terminal/ws، والتي تتجاوز التحقق وتمنح المهاجمين shell تفاعلية على البيئات المكشوفة. هذا هو الواقع الجديد: نافذة الزمن بين الإفصاح والاستغلال تنهار بسرعة.

• حدّث Marimo فورًا إلى نسخة مصححة.
• أزل بيئات notebooks المكشوفة من الإنترنت.
• افترض أن فترات الأمان المعتمدة فقط على advisory لم تعد موجودة للخدمات المكشوفة.

---

5. التشفير الطرفي في Gmail يصل أخيرًا إلى الجوال

تقول Google إن التشفير الطرفي في Gmail أصبح متاحًا الآن على Android وiOS لمستخدمي المؤسسات، ما يسمح للفرق بقراءة الرسائل المحمية وكتابتها على الجوال من دون أدوات إضافية. هو لا يحل اختراق الهوية أو سرقة الجهاز، لكنه يقلل من الحجة المعتادة بأن البريد الآمن معقّد جدًا للاستخدام العملي.

• فعّل E2EE حيث تُعالج البيانات المنظمة بانتظام.
• اربط البريد المشفر بثقة الجهاز وضوابط هوية قوية.
• درّب الفرق على ما الذي يحميه التشفير وما الذي لا يحميه.

---

ما الذي يجب أن تفعله فرق الأمن اليوم

1. دقّق في مسارات توزيع البرمجيات الموثوقة.
2. اعزل أصول OT المكشوفة على الإنترنت أو أزلها.
3. شدّد تدفقات الهوية الخاصة بالرواتب والموارد البشرية.
4. طبّق التصحيحات على أدوات المطورين المكشوفة في يوم الإفصاح نفسه.
5. وسّع قنوات الرسائل الآمنة على الجوال للفرق الحساسة.

---

Sources tracked for this briefing: المصادر المتابعة لهذه الإحاطة: BleepingComputer وThe Hacker News وتقارير الوكالات الفيدرالية أو المورّدين المنشورة بين 10 و11 أبريل 2026.