← العودة إلى المدونة

إحاطة أمنية، 20 أبريل 2026: اختراق Vercel ورسائل Apple التصيدية وتباطؤ NIST في CVE

المشهد هذا الصباح يدور حول تآكل الثقة. منصة سحابية تتعامل مع مزاعم اختراق، ومسار البريد الخاص بـ Apple يُستغل للتصيد، وخط معالجة الثغرات تحت ضغط لدرجة أن NIST تقلص الإثراء للحالات الأقل أولوية.

---

---

1. أكدت Vercel الاختراق بعد بدء المهاجمين بيع البيانات

ذكرت BleepingComputer أن Vercel كشفت عن حادثة أمنية بعد أن زعم مهاجمون أنهم اخترقوا أنظمتها ويحاولون بيع بيانات مسروقة. وحتى قبل اكتمال الصورة العامة، فالدرس الدفاعي واضح: الوصول إلى منصات السحابة والمطورين هو وصول إنتاجي فعلي.

• راجع الرموز المرتبطة بـ Vercel ومفاتيح API وأسرار البناء والنشاط الإداري الأخير.
• بدّل بيانات الاعتماد المرتبطة بخطوط النشر إذا كانت بيئتك تلامس المنصة.
• اطلب من المورّدين نطاقًا دقيقًا للحادث وفئات البيانات المتأثرة وتسلسلًا زمنيًا واضحًا.

---

2. استُغلت تنبيهات Apple الخاصة بتغييرات الحساب لجعل التصيد أكثر إقناعًا

وجد المهاجمون طريقة لإساءة استخدام إشعارات Apple الشرعية الخاصة بتغيير الحساب بحيث تمرر محتوى تصيديًا داخل رسائل صادرة من بنية Apple نفسها. وهذا مهم لأن المستخدمين وفلاتر البريد يثقون بالمرسل. عنوان المرسل الحقيقي لا يعني أن الرسالة آمنة.

• نبّه المستخدمين إلى أن العلامات الموثوقة قد تنقل محتوى شكله المهاجمون.
• اضبط أمن البريد والتوعية على أساس المحتوى والروابط، لا على سمعة المرسل فقط.
• أعطِ الأولوية لمصادقة MFA المقاومة للتصيد على Apple ID والحسابات المرتبطة بالمشتريات أو الأجهزة أو الاسترداد.

---

3. تتراجع NIST عن التقييم الكامل للثغرات الأقل أولوية

قالت NIST إنها ستتوقف عن منح درجات شدة كاملة لثغرات CVE الأقل أولوية بسبب الارتفاع الكبير في حجم الإرسال. وأشارت The Hacker News إلى زيادة قدرها 263% بين 2020 و2025. المعنى واضح: الفرق التي تعتمد كثيرًا على إثراء NVD تحتاج إلى فرز داخلي أقوى.

• لا تؤجل قرارات التصحيح فقط لأن درجة NVD غير موجودة إذا كان مسار الاستغلال واضحًا أصلًا.
• عزّز الفرز الداخلي باستخدام تنبيهات المورّدين وحالة KEV وتعرّض الأصول وقابلية الاستغلال.
• توقّع مزيدًا من الضوضاء في التراكمات، وحدّث اللوحات التي تفترض أن كل CVE جديد يأتي بدرجة كاملة.

---

ما الذي يجب أن تفعله فرق الأمن اليوم

1. تحقق مما إذا كانت أنظمة الإنتاج أو CI/CD تعتمد على Vercel وابدأ بتبديل الأسرار المكشوفة.
2. أرسل تنبيه تصيد قصيرًا يوضح أن رسائل Apple الشرعية قد تُساء استخدامها أيضًا.
3. راجع تدفقات إدارة الثغرات التي تعتمد على درجات NVD وأزل فترات الانتظار غير الضرورية.
4. أخبر الإدارة بالفكرة المشتركة: قنوات الثقة أصبحت جزءًا من سطح الهجوم.

---

الخلاصة: يذكّرنا اليوم بأن الأمن ينهار عندما يسلّم المدافعون الثقة بسهولة زائدة إلى المنصات السحابية أو البريد الرسمي أو أنظمة التقييم العامة. تحقّق أكثر وافترض أقل.