ثلاث ثغرات في أدوات المطورين والبنية التحتية: Git وSGLang وXen Orchestra

من بين أخبار اليوم لفتت نظري ثلاث قصص أمنية تبدو منفصلة، لكنها تحمل رسالة واحدة: الأدوات التي نثق بها كل يوم، مثل نظام إدارة الشيفرة ومحرك تشغيل النماذج ولوحة إدارة الخوادم، هي هدف مفضل للمهاجمين. وأنا أرى هذا في عملي مع الشركات في الإمارات والخليج، حيث يُنتبه لجدار الحماية وتُهمل هذه الأدوات.

ماذا حدث؟

أولاً، أصلح مشروع Git ثغرة قد تسمح لمستودع خبيث بتشغيل شيفرة المهاجم على جهاز من ينسخه نسخاً تكرارياً مع وحداته الفرعية (submodules). بحسب The Hacker News، تحمل الثغرة الرمز CVE-2026-111760، وهي خطأ اقتطاع أعداد صحيحة في طريقة تعامل Git مع الفهرس. صدر الإصلاح في الإصدار 2.56.1، وصدرت إصلاحات موازية للسلاسل من 2.50 إلى 2.55.

ثانياً، استغل مهاجم ثغرة تنفيذ شيفرة عن بُعد في SGLang، وهو محرك استدلال مفتوح المصدر، وشغّل شيفرته على أحد خوادم الاستدلال لدى NEAR AI يوم الأحد الماضي. وذكر The Hacker News أن الشركة أعلنت أن المهاجم كان بإمكانه الاطلاع على الطلبات التي عولجت على ذلك الخادم في ذلك اليوم، ومنها الطلبات المرسلة بالوضع السري الذي يعتمد على بيئة تنفيذ موثوقة. وتشير عناوين الخبر إلى سرقة بيانات من 18 وكيلاً ونحو 100 مستخدم.

ثالثاً، حذّرت شركة Vates VMS الفرنسية من ثغرة حرجة في Xen Orchestra تتيح تجاوز المصادقة، وقالت إنها تُستغل فعلاً. وبحسب The Hacker News يمكن للمهاجمين بهذه الثغرة الحصول على صلاحيات إدارية، وهي مسجلة تحت المعرّف VSA-2026-062 ولم يُخصص لها رمز CVE بعد.

لماذا يهمنا في الخليج؟

لأن شركاتنا تتوسع بسرعة في الذكاء الاصطناعي والحوسبة السحابية والبنية الافتراضية. كثير من الفرق تجرّب محركات استدلال مفتوحة المصدر وتنشرها بسرعة، وتدير أجهزتها الافتراضية من لوحات ويب مكشوفة أحياناً. أما Git فهو عند كل مطور ومعظم خطوط النشر الآلي، فجهاز مطور واحد أو خادم بناء واحد يكفي ليكون نقطة دخول إلى شبكة الشركة.

والقصة الثانية تحديداً تستوقفني. كثيرون يظنون أن «الوضع السري» أو بيئة التنفيذ الموثوقة تعني أمان البيانات في كل حال. وما نقلته الشركة نفسها يبين أن ثغرة في طبقة التشغيل قد تضعف هذا الافتراض، فالحماية تكون بقدر أضعف مكوّن في السلسلة.

ماذا تفعل الآن؟

• حدّث Git على أجهزة المطورين وخوادم البناء إلى الإصدار المصحَّح المناسب لسلسلتك، وتحقق من صور الحاويات التي تحمل نسخاً قديمة منه.
• لا تنسخ نسخاً تكرارياً مستودعات من مصادر غير موثوقة، خصوصاً مع الوحدات الفرعية، قبل أن تتأكد من التحديث، ويُفضّل فحصها داخل بيئة معزولة.
• اجرِ جرداً لكل محركات الاستدلال وأدوات الذكاء الاصطناعي المفتوحة المصدر في شركتك، بما فيها ما نشره الفريق للتجربة دون علم قسم تقنية المعلومات، وتابع تحديثاتها.
• إذا كنت تستخدم Xen Orchestra فاقرأ تنبيه Vates VMS وطبّق توجيهاته فوراً، وأغلق الوصول إلى لوحة الإدارة من الإنترنت، واقصره على شبكة إدارة أو VPN.
• راجع السجلات بحثاً عن دخول إداري غير مألوف، وبدّل المفاتيح والرموز السرية على أي خادم يُشتبه في تعرضه.

رأيي الصريح

نحن نحتفل بكل نموذج ذكاء اصطناعي جديد وميزة جديدة، وننسى أن تحت هذه الأدوات برمجيات عادية فيها أخطاء عادية. ثغرة اقتطاع أعداد صحيحة في Git لا تبدو لامعة، لكنها قد تكون أقصر طريق إلى جهازك. وأرى أن الشركة التي تنشر نموذجاً ذكياً قبل أن تضع خطة لتحديث مكوناته تبني فوق أرض غير مستقرة.

نصيحتي العملية: اجعل التحديث الدوري للأدوات الصغيرة جزءاً من روتين الفريق، وخصص له وقتاً أسبوعياً ومسؤولاً واضحاً. ما يكلفك ساعة اليوم قد يوفر عليك أسبوعاً من الأزمات لاحقاً.