خرق بيانات Vercel Context.ai OAuth لعام 2026

تؤكد النشرة الأمنية الرسمية لـ Vercel مباشرةً الوصول غير المصرح به إلى الأنظمة الداخلية، ومصدر الهجوم، واختراق متغيرات البيئة الخاصة بالعملاء. حددت المراجعة الأولية مجموعة محدودة من العملاء؛ ثم كشف تحليل أوسع للسجلات والمؤشرات عن عدد قليل من الحسابات الإضافية التي تعرضت للاختراق ضمن حادث أبريل نفسه. وتواصلت Vercel مع هؤلاء العملاء لتزويدهم بخطوات المعالجة.

نقل BleepingComputer ما ورد في النشرة والشرح التقني للرئيس التنفيذي لـ Vercel، بما يدعم المعلومات المتعلقة بالاستيلاء على الحساب عبر Context.ai، وحصر متغيرات البيئة، والإرشادات المقدمة للعملاء. كما عرض ادعاءات لأحد مستخدمي منتدى بشأن الشيفرة المصدرية وبيانات قواعد البيانات وسجلات الموظفين، لكنه لم يتمكن من التحقق منها بصورة مستقلة. لذلك لا تعتبر LeakData هذه الادعاءات جزءًا من النطاق المؤكد للحادث.

الفئة المؤكدة هي متغيرات البيئة الخاصة بالعملاء والمخزنة على Vercel بصفتها «غير حساسة»، والتي يمكن إظهار قيمها كنص صريح. قد يحتوي متغير البيئة على إعدادات، لكن المستخدمين قد يضعون فيه أيضًا مفاتيح API أو رموز وصول أو بيانات اعتماد لقواعد البيانات أو مفاتيح توقيع. ونصحت Vercel العملاء بالتعامل مع هذه القيم على أنها ربما انكشفت، واستبدالها بقيم جديدة.

لا تعني هذه القائمة أن كل عميل متأثر كان يخزن جميع أنواع الأسرار المذكورة. وقالت Vercel إن متغيرات البيئة الخاصة بالعملاء والمصنّفة على أنها حساسة تُشفّر عند تخزينها؛ وقد تقدم الهجوم عبر القيم المصنّفة على أنها غير حساسة، والتي كانت قابلة للقراءة لهذا السبب.

تقول Vercel إن تطبيق Google Workspace OAuth التابع لأداة ذكاء اصطناعي صغيرة من طرف ثالث تعرض للاختراق ضمن حملة أوسع. واستخدم المهاجم هذا الوصول للسيطرة على حساب Google Workspace الفردي لأحد موظفي Vercel الذين استخدموا الأداة، ثم على حساب الموظف في Vercel. وأدى الانتقال إلى البيئة الداخلية إلى تضخيم أثر حساب واحد على سلسلة التوريد.

نشرت Vercel معرّف تطبيق OAuth، وحثّت مسؤولي Google Workspace وأصحاب الحسابات على التحقق مما إذا كان التطبيق نفسه قد استُخدم. وقيّمت الشركة المهاجم على أنه متقدم القدرات، استنادًا إلى سرعة عملياته ومعرفته التفصيلية بواجهات API الخاصة بمنتجات Vercel، وقالت إنها تعمل مع Google Mandiant وشركات أمنية أخرى وجهات نظيرة في القطاع وأجهزة إنفاذ القانون.

تستخدم النشرة عبارة «مجموعة محدودة»، ثم عبارة «عدد قليل من الحسابات الإضافية»، لكنها لا تقدم رقمًا دقيقًا. ولا يمثّل إجمالي قاعدة عملاء Vercel أو عدد عمليات النشر أو مستخدمي المنصة العدد الإجمالي للمتأثرين بالخرق.

كشفت المراجعة الموسّعة أيضًا عن مؤشرات اختراق في عدد قليل من حسابات عملاء آخرين، بدا أنها منفصلة عن حادث أبريل، وجرى تقييمها على أنها لم تنشأ من أنظمة Vercel. وتواصلت الشركة مع أصحاب تلك الحسابات، لكنها لم تصنّف هذه الحالات على أنها امتداد لخرق أبريل أو حادث أمني سابق لدى Vercel.

أكدت Vercel، من خلال العمل مع GitHub وMicrosoft وnpm وSocket، أن أيًا من حزم npm التي نشرتها لم يتعرض للاختراق، وأنه لم توجد أدلة على العبث بها. وظلت Next.js وTurbopack ومشاريع الشركة الأخرى مفتوحة المصدر آمنة. ولا تثبت المصادر العامة حقن حزم خبيثة أو تأثر كل عملية نشر مستضافة على Vercel.

أتاحت الشركة عرضًا عامًا لمتغيرات البيئة، وأدخلت تحسينات على إدارة القيم الحساسة. وينبغي للعملاء إدراك أن حذف مشروع أو حساب وحده لا يزيل الخطر، لأن سرًا مسروقًا قد يستمر في إتاحة الوصول إلى نظام إنتاج خارجي. يجب أولًا استبدال القيم التي يُحتمل أن تكون قد انكشفت، ثم مراجعة السجلات والخدمات المتصلة.

يستند تاريخ الحادث إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. ويتمثل الحدث المؤكد في اختراق حساب موظف عبر سلسلة Context.ai OAuth، ثم الانتقال إلى بيئة Vercel وقراءة متغيرات بيئة غير حساسة تخص بعض العملاء. ولا يزال العدد الإجمالي للعملاء والسجلات المتأثرة مجهولًا.

ينبغي للعملاء التعامل مع مفاتيح API والرموز وبيانات اعتماد قواعد البيانات ومفاتيح التوقيع المخزنة في متغيرات بيئة غير حساسة على أنها ربما انكشفت، واستبدالها بقيم جديدة. ولم تؤكد Vercel ادعاءات المنتدى المتعلقة بالشيفرة المصدرية وقواعد البيانات وعمليات النشر الداخلية و580 سجلًا للموظفين، ولذلك استُبعدت هذه الادعاءات من فئات البيانات والنطاق العددي للحادث.