opensourcemalware/vercel-april2026-incident-responseهذا هو دليل الاستجابة للحوادث الذي أنشأناه لاختراق Vercel في أبريل 2026
آخر تحديث: 20 أبريل 2026 @ 12:07 مساءً AEST/بريسبان - (الإصدار 2 — يتضمن تحديث الرئيس التنفيذي لـ Vercel بتاريخ 20 أبريل)
أعلنت Vercel في 19 أبريل 2026 أن مهاجمًا حصل على وصول غير مصرح به إلى الأنظمة الداخلية. إليك الإعلان الرسمي:
في 20 أبريل، نشر الرئيس التنفيذي لـ Vercel، Guillermo Rauch، تحديثًا مفصلاً أكد فيه مسار الوصول الأولي: استخدم موظف في Vercel منصة ذكاء اصطناعي تسمى Context.ai، والتي تم اختراقها هي نفسها؛ ومن هناك، انتقل المهاجم إلى حساب الموظف في Google Workspace ثم صعد إلى بيئات Vercel. متغيرات البيئة مشفرة عند التخزين، لكن المهاجم كان قادرًا على تعداد المتغيرات التي لم يتم وضع علامة "حساسة" عليها. يصف Vercel المهاجم بأنه متطور للغاية ومن المحتمل أن يكون مدعومًا بالذكاء الاصطناعي. Google Mandiant تشارك في الاستجابة. تذكر Vercel أن Next.js و Turbopack ومشاريعها مفتوحة المصدر لا تزال آمنة.
إليك قسم مؤشرات الاختراق المهم من هذا التنبيه الأمني:
خفيفة جدًا في التفاصيل. لا يخبرونك حتى أين تتحقق من مؤشر Google الوحيد. كعميل لـ Vercel، أنا محبط جدًا من هذا المستوى من التفاصيل. ساعدني في فهم ما الذي أبحث عنه! أخبرني أين أذهب لمعرفة ما إذا كنت قد تعرضت للاختراق أم لا!
إذا كنت تدير أعباء عمل على Vercel، افترض ما يلي حتى يثبت العكس:
vercel env والتي لم يتم تدويرها هي مسؤولية قائمة.هذا التمييز مهم للاتصالات التنفيذية ولتجنب الإفراط في الاستجابة (أو النقص في الاستجابة).
تعامل مع التقارير غير المؤكدة على أنها محتملة وقابلة للتنفيذ لفحصك الخاص، لكن لا تستشهد بها كحقيقة في اتصالات العملاء أو الجهات التنظيمية حتى تؤكدها Vercel أو يكون لديك دليل مستقل. الفجوة بين "متغيرات البيئة القابلة للتعداد" (مؤكدة من قبل Rauch) و"رموز npm + GitHub للبيع على BreachForums" (ادعاء المهاجم) هي الفجوة الأكثر أهمية لمخاطر سلسلة التوريد — افترض الأسوأ لأغراض التدوير، والتزم بالنسخة المؤكدة للاتصالات.
أعلى أولوية — تلقيت اتصالاً مباشرًا من Vercel، أو ينطبق أي مما يلي:
أولوية قياسية — أي فريق لديه مشاريع Vercel نشطة، حتى مواقع التسويق. غالبًا ما تحتوي مواقع التسويق على مفاتيح API لنظام إدارة المحتوى، ورموز تحليلات، ومفاتيح ويب هوك للنماذج التي تنتقل إلى أنظمة أكثر حساسية.
لا يزال يتعين القيام به — حتى لو تم حذف مشاريعك قبل الحادثة. السؤال هو ما إذا كانت الأسرار موجودة في Vercel في شكل قابل للقراءة، وليس ما إذا كان المشروع لا يزال موجودًا.
يذكر تحديث 20 أبريل Context.ai كمورّد معرض للخطر. إذا كان أي شخص في مؤسستك يستخدم Context.ai بشكل مستقل عن Vercel — لذكاء الاجتماعات، وإدارة المعرفة، وإثراء CRM، أو أي سير عمل آخر — فقد يكون لديك نافذة تعرض مباشرة خاصة بك منفصلة عن حادثة Vercel.
قم بتشغيل هذه الفحوصات بالتوازي:
context.ai أو معرفات التطبيقات المرتبطة.إذا وجدت استخدامًا لـ Context.ai في بيئتك، قم بإلغاء منح OAuth، ودوّر أي بيانات اعتماد مرت عبر سير عمل Context.ai، وراقب حسابات Google Workspace للمستخدمين المتأثرين بحثًا عن نفس مؤشرات الاختراق التي تصف Vercel رؤيتها على حساب موظفها. تواصل مع Context.ai مباشرة للحصول على تفاصيل حادثتك الخاصة؛ صرحت Vercel علنًا أنها تنسق مع Context لمساعدة المؤسسات المتأثرة الأخرى.
هدفان: منع المزيد من الضرر، والحفاظ على الأدلة.
جمّد عمليات النشر. أوقف عمليات النشر التلقائي على الفروع الإنتاجية. تريد منع نشر بناء معدل من قبل المهاجم، وتريد إيقاف دوران سجل التدقيق.
عطّل تطبيق Vercel GitHub App. إذا كان لديك تطبيق Vercel GitHub App مثبتًا، والذي سيكون موجودًا إذا كنت تقوم بنشر تلقائي إلى Vercel عند دفع كود جديد إلى GitHub. يمكنك العثور على تطبيقات GitHub المثبتة على https://github.com/organizations/<GitHub-Organization>/settings/installations
حدد الوصول الذي يمتلكه تطبيق GitHub App. انقر على زر التكوين أعلاه وتدقيق المستودعات التي كان لتطبيق Vercel حق الوصول إليها. هذا يخبرك بما تحتاج إلى التركيز عليه الآن. اذهب إلى GitHub → Organization → Settings → GitHub Apps → Vercel. راجع:
