خرق بيانات Grafana Labs على GitHub في 2026

تذكر مراجعة Grafana Labs المنشورة في 23 يونيو 2026 بعد الحادثة أن تحقيقها الداخلي اختُتم في 27 مايو، وأن تحقيقًا مستقلًا أجرته Mandiant اكتمل في 18 يونيو وأيّد النتائج الداخلية. ولم تجد Mandiant أي دليل على العبث بالشفرة أو تسميم المستودعات ضمن المؤسسات المتاحة للعامة أو في مستودعات الإنتاج المقدّمة إلى المستخدمين النهائيين. ويورد التقرير النهائي توقيتات بدقة الدقائق للتنفيذ الأولي وتهريب البيانات واكتشاف الحادثة والاستجابة لها.

وصفت تقارير BleepingComputer الصادرة في 18 مايو و20 مايو أيضًا الوصول إلى بيئة Grafana على GitHub باستخدام رمز وصول مسروق، وتنزيل قاعدة شفرتها، ورفض الشركة دفع فدية. ولا يُستعاض بالتقارير عن انتماء الجهة المهاجمة إلى مجموعة أو عن تصريحات موقع التسريبات عن نطاق الحادثة الذي أكدته Grafana.

خلال حملة Mini Shai-Hulud، وصلت شفرة خبيثة من TanStack npm إلى مسار عمل CI/CD لدى Grafana، ونُفّذت على مشغّلات GitHub ذاتية الاستضافة في 11 مايو، مما أدى إلى تسريب بيانات اعتماد. وسارعت Grafana إلى استبدال عدد كبير من رموز الوصول الخاصة بمسارات العمل في GitHub، لكن أُغفل رمز واحد لمسار عمل اعتُقد في البداية أنه لم يتأثر. واستخدم المتسلل بيانات الاعتماد هذه للدخول إلى مستودعات الشركة الخاصة.

وفقًا للتسلسل الزمني النهائي، أجرت الجهة المهاجمة أول إيداع خبيث للشفرة باستخدام هوية grafana-delivery-bot المتسرّبة عند الساعة 07:21 UTC في 14 مايو، وبدأ تهريب بيانات المستودعات عند الساعة 13:28 من اليوم نفسه. وظهر طلب ابتزاز في 15 مايو. وعلم فريق الأمن لدى Grafana بهذا الادعاء في 16 مايو، وأكد حدوث الاختراق في وقت لاحق من ذلك اليوم، ثم علّق التطبيقات وبيانات الاعتماد التي عُرف أنها متأثرة أو استبدلها.

الفئة الأساسية المؤكدة من البيانات هي مجموعة Grafana الكاملة من مستودعات الشفرة المصدرية العامة والخاصة. وكانت المستودعات الخاصة تضم أدوات داخلية وشفرة لبعض ميزات Grafana Cloud. واحتوت بعض مستودعات الفرق أيضًا على معلومات تشغيلية داخلية، وتفاصيل تتعلق بالأعمال، وأسماء جهات اتصال تجارية وعناوين بريد إلكتروني مستخدمة في علاقات مهنية، وعناوين بريد إلكتروني مستخدمة في بعض الحملات التسويقية السابقة.

لا تثبت المصادر العامة سرقة بيانات بيئات الإنتاج لدى العملاء، أو بيانات قابلية الرصد، أو كلمات المرور، أو المعلومات التي تُعالَج عبر Grafana Cloud. وذكرت Grafana تحديدًا أن بيانات الاتصال لم تُستخرج من أنظمة الإنتاج أو منصة Grafana Cloud. وأتاحت الشركة قناة دعم للمؤسسات الراغبة في معرفة ما إذا كانت قد رُصدت عناوين بريد إلكتروني تابعة لنطاقها، لكنها لم تنشر عدد الأشخاص.

أكد التحقيق الداخلي ومراجعة Mandiant عدم حدوث وصول غير مصرح به إلى أنظمة الإنتاج لدى العملاء، وأن منصة Grafana Cloud لم تتأثر. ودققت Grafana جميع إيداعات الشفرة، و1,200 مستودع، وتطبيقات GitHub، والمشغّلات، وعدة مصادر لسجلات البنية التحتية. ولم تُعدّل قاعدة الشفرة التي نُزّلت، ولم يُعثر على تسميم للمستودعات العامة أو مستودعات الإنتاج المقدّمة إلى المستخدمين.

لذلك لم تطلب Grafana من العملاء أو مستخدمي البرمجيات مفتوحة المصدر إزالة المنتجات، أو تغيير الإصدارات، أو اتخاذ أي إجراء طارئ آخر خاص بالحادثة. وحُدّدت التغييرات التي أُجريت باستخدام الهوية الخاضعة لسيطرة المهاجم وأُلغيت؛ كما جمّدت الشركة تغييرات الشفرة وعمليات النشر، واستبدلت بيانات الاعتماد، واتجهت نحو استخدام رموز وصول قصيرة العمر ومحدودة النطاق. ولا تنفي هذه الحدود وقوع السرقة عبر GitHub، لكنها تمنع تفسيرها خطأً على أنها خرق لأنظمة الإنتاج لدى العملاء.

تلقت Grafana في 16 مايو طلبًا من جهة تهديد تسعى إلى الحصول على مبلغ مالي مقابل عدم نشر قاعدة الشفرة. واتباعًا لإرشادات FBI التي تفيد بأن الدفع لا يضمن الاسترداد وقد يشجّع على مزيد من الجرائم، رفضت الشركة الدفع. وأُبلغت جهات إنفاذ القانون الفدرالية. ولا تُعدّ أعداد الأشخاص أو حقول البيانات أو ادعاءات الجهة المهدِّدة غير المتحقق منها جزءًا من نطاق الحادثة المعلن للعامة.

أثناء الاستجابة، علّقت Grafana تطبيقات GitHub، وجمّدت مؤقتًا تغييرات الشفرة وعمليات النشر، وقارنت للتحقق المتبادل سجلات Vault وGitHub وOkta وKubernetes وAWS وGCP وسجلات الأجهزة المضيفة. وأفادت بإجراء 1,500 مراجعة لطلبات السحب ركزت على الأمن، وتدقيق 280 من تطبيقات GitHub، واستبدال بيانات الاعتماد على نطاق واسع. وفي 17 مايو، عُلّقت أو استُبدلت آخر بيانات اعتماد كان يُحتمل أن تظل متاحة للمهاجم.

يستند تاريخ الحادثة إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. ويتمثل الحدث في استنساخ مجموعة مستودعات باستخدام رمز وصول مسروق لأحد مسارات العمل في GitHub، وتنزيل معلومات محدودة لجهات اتصال تجارية كانت محفوظة في تلك المستودعات. ولم تنشر المؤسسة إجماليًا يمكن التحقق منه لعدد الأشخاص المتأثرين أو السجلات. وعدم الإفصاح عن العدد لا يعني أن الحادثة لم يكن لها أثر؛ بل يعني أن المصادر العامة لا توفر إجماليًا موثوقًا.

ينبغي للقراء اعتبار الشفرة المصدرية، والمعلومات التشغيلية الداخلية، وأسماء جهات الاتصال التجارية، وعناوين البريد الإلكتروني الخاصة بالأعمال، وعناوين البريد الإلكتروني المستخدمة في حملات تسويقية سابقة، فئات البيانات المؤكدة. ولم تتأثر أنظمة الإنتاج لدى العملاء، أو Grafana Cloud، أو الشفرة المقدّمة إلى المستخدمين النهائيين، أو توافر الخدمة. ويمكن تحديث السجل إذا نُشر نطاق عددي للحادثة؛ فالقيمة الصفرية الحالية تعني أن عدد الأشخاص المحتسبين دون تكرار غير معروف، لا أن أي معلومات لم تنكشف.