خرق بيانات سلسلة توريد Checkmarx عبر GitHub لعام 2026

تذكر صفحة Checkmarx الموحّدة الخاصة بالحادثة، التي حُدّثت في 6 يوليو، أن التحقيق المدعوم من Mandiant وأعمال تعزيز الأمان قد اكتملت، وأن الحادثة احتُويت بالكامل. ويربط التسلسل الزمني الرسمي للشركة مباشرةً بين الوصول الأولي، والمكونات البرمجية الخبيثة، وتهريب البيانات في 30 مارس، ونشرها في 25 أبريل، وخطوات الاستجابة اللاحقة، بوصفها أجزاءً من الحادثة نفسها.

وأفاد BleepingComputer في تقرير مستقل بتاريخ 28 أبريل بأن Checkmarx أكدت أن البيانات المنشورة تخص الشركة وأن مصدرها مستودع خاص على GitHub. وذكر التقرير أنه رصد حزمة بحجم 96 GB، لكنه لم يفحص محتوياتها.

وفقًا لـ Checkmarx، بدأت الحادثة بهجوم سلسلة التوريد على Trivy المنسوب إلى TeamPCP. ففي 19 مارس، جمعت مكونات Trivy الخبيثة بيانات اعتماد من مستخدميها في المراحل اللاحقة من سلسلة التوريد، واستخدم المهاجمون تلك البيانات للدخول إلى بيئة Checkmarx على GitHub. واكتشفت الشركة الوصول غير المصرح به في 23 مارس، لكن بيانات الاعتماد المخترقة أو المخزّنة مؤقتًا أتاحت نشاطًا لاحقًا.

أتاح الوصول إلى GitHub للمهاجمين التعامل مع المستودعات ونشر شيفرة خبيثة عبر بعض قنوات التوزيع الخارجية. وألغت Checkmarx أذونات النشر، واستبدلت بيانات الاعتماد، وحظرت الاتصالات الصادرة إلى البنية التحتية للمهاجمين، وقفلت المستودعات المتأثرة. كما أخطرت جهات إنفاذ القانون والسلطات المعنية، واستعانت بـ Mandiant لتقديم الدعم في التحقيق الجنائي الرقمي.

فئة البيانات المؤكدة هي بيانات المستودعات التي هُرّبت من مستودعات Checkmarx على GitHub. ولم تنشر الشركة قائمة تفصيلية تصنّف المحتوى إلى شيفرة مصدرية، أو ملفات إعدادات، أو وثائق، أو بيانات اعتماد، أو ملفات أخرى. وقد تأكد تهريب البيانات في 30 مارس ونشرها في 25 أبريل، لكن التحديث الرسمي النهائي لم يحدد حجم الحزمة أو فئات الملفات داخلها.

قالت Checkmarx إن مستودعاتها على GitHub منفصلة عن بيئة الإنتاج الخاصة بالعملاء، وإن ممارساتها المعتادة لا تتضمن تخزين بيانات العملاء فيها. وأكدت مراجعة Mandiant المكتملة أن الجهات المهاجمة لم تصل إلى Checkmarx One SaaS، وأن بيئة الإنتاج على AWS لم تتأثر. ولذلك لا تُدرج الشيفرة المصدرية للعملاء، ونتائج الفحص، وبيانات SaaS ضمن فئات البيانات في هذا السجل.

يذكر الملخص الرسمي أنه خلال موجة مارس نُشرت إجراءات GitHub Actions خبيثة وإضافات خبيثة لـ VS Code على Open VSX. وأثرت موجة ثانية في 22 أبريل على إصدارات محددة من صور Checkmarx KICS Docker، ومن Checkmarx AST GitHub Action، ومن إضافتي AST Results وDeveloper Assist على VS Code وOpen VSX. ولم تُستبدل الإصدارات المنشورة سابقًا والمعروفة بأنها آمنة، واقتصر الخطر على فترات نشر محددة.

وفي 9 مايو، نشر حساب خدمة خارجي نسخة معدّلة من إضافة Checkmarx Jenkins AST على Jenkins Marketplace؛ وقدمت الشركة إصدارات سليمة وقيم تجزئة. وتعني هذه الآثار على سلسلة التوريد أن رموزًا مميزة، أو مفاتيح، أو ملفات إعدادات، أو أسرارًا أخرى ربما سُرقت من بيئات تطوير تابعة لجهات خارجية شغّلت المكونات المتأثرة. ولم تنشر Checkmarx إجماليًا موثّقًا لعدد التنزيلات أو لعدد البيئات التي اختُرقت فعليًا في المراحل اللاحقة من سلسلة التوريد.

خلصت النتائج النهائية لـ Mandiant إلى أن نشاط الجهات المهاجمة اقتصر على بيئة Checkmarx على GitHub، وعدد محدود من محطات العمل المصابة، واستطلاع أولي لبيانات اعتماد Checkmarx الخاصة بـ AWS. ولم تتأثر بيئة الإنتاج على AWS، ولم يحدث وصول إلى Checkmarx One SaaS، وأُزيلت الشيفرة الخبيثة من بيئة GitHub. وكان آخر نشاط رُصد داخل Checkmarx في 22 أبريل.

لم يُخترق منتج CxSAST المثبّت محليًا ولا برنامج تثبيته؛ إذ تعلق الخطر بالمكونات الموزّعة عبر قنوات خارجية. ومع ذلك، كان على المؤسسات التي شغّلت مكونًا متأثرًا خلال فترة نشره المحددة أن تفحص بيئاتها، وتبحث عن المؤشرات، وتستبدل الأسرار عند الاشتباه في حدوث اختراق. يؤكد هذا السجل وقوع خرق لبيانات Checkmarx المؤسسية، لكنه لا يدّعي أن كل عميل لدى Checkmarx تعرض تلقائيًا لخرق.

يستند تاريخ الحادثة إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. والبيانات المسروقة المؤكدة هي بيانات مستودعات GitHub. أما المكونات البرمجية الخبيثة الموجّهة للمطورين، فتُعرض بوصفها أثرًا لاحقًا على سلسلة التوريد ناتجًا عن الوصول الأولي نفسه.

لم تنشر المؤسسة إجماليًا قابلًا للتحقق لعدد الأشخاص المتأثرين أو السجلات. وعدم الإفصاح عن العدد لا يعني أن الحادثة لم تترك أثرًا، بل يعني أن المصادر العامة لا توفر إجماليًا موثوقًا. وقد وردت نسبة الهجوم إلى LAPSUS$ ورقم حجم الحزمة البالغ 96 GB في تقارير مستقلة، لكن Checkmarx لم تعتمد أيًا منهما باعتباره تحديدًا نهائيًا لفئة البيانات أو إجمالي الأشخاص، ولذلك استُبعدا من الحقول الرقمية. وتظل بيانات إنتاج العملاء وCheckmarx One SaaS خارج النطاق المؤكد.