TeamPCP يُحوّل أداة Trivy الأمنية إلى سلاح — كيف اخترقت سلسلة توريد CI/CD آلاف المؤسسات في 12 ساعة

في 19 مارس 2026، نجح مهاجمون يُعرفون بـ TeamPCP في اختراق أداة Trivy لمسح الثغرات الأمنية التابعة لـ Aqua Security، وحقنوا حمولة خبيثة لسرقة بيانات الاعتماد عبر GitHub Actions — مستهدفين آلاف خطوط CI/CD حول العالم. الأمر المقلق: أي مؤسسة مالية سعودية تعتمد على Trivy ضمن خط تطويرها البرمجي قد تكون تعرضت للاختراق دون أن تعلم.

كيف حوّل TeamPCP أداة أمنية موثوقة إلى سلاح هجوم

لم يكن الأمر مجرد اختراق مباشر، بل كان هجوماً متعدد المراحل بدأ في أواخر فبراير 2026 حين استغل المهاجمون خطأً في تكوين GitHub Actions الخاص بمشروع Trivy، ما أتاح لهم استخراج رمز وصول ذو صلاحيات مرتفعة. وعلى الرغم من أن فريق Trivy أعلن عن الحادثة في 1 مارس وقام بتدوير بيانات الاعتماد، إلا أن هذا التدوير لم يكن شاملاً كافياً — ما أبقى للمهاجمين موطئ قدم مخفياً. في 19 مارس، استغل TeamPCP هذا الوصول المتبقي، وأعاد توجيه 76 من أصل 77 وسماً (Tag) في مستودع trivy-action، و7 وسوم في setup-trivy، لتشير إلى ملتزمات (commits) خبيثة تحمل حمولة لسرقة الأسرار.

ماذا سرق المهاجمون من خطوط CI/CD؟

صُممت الحمولة الخبيثة المنتشرة عبر Trivy v0.69.4 لاستخراج أكثر الأسرار حساسيةً في خطوط التطوير. شملت المعلومات المستهدفة: مفاتيح AWS وGCP وAzure ورموز الوصول السحابية، ومفاتيح SSH ورموز Kubernetes وملفات تكوين Docker، وبيانات اعتماد Git، فضلاً عن أي مفاتيح API أخرى متاحة داخل بيئة CI/CD. بقيت نسخة Trivy v0.69.4 الملوثة نشطةً لمدة ثلاث ساعات، فيما ظلت وسوم GitHub Actions المخترقة فاعلةً لما يصل إلى 12 ساعة قبل احتواء الهجوم. وبحسب تحليلات Wiz وSysdig وKaspersky، توسّع TeamPCP لاحقاً ليستهدف أيضاً أداتي Checkmarx وLiteLLM — ما يكشف نهجاً ممنهجاً لاستهداف أدوات الأمن والتطوير الأكثر انتشاراً.

التأثير على المؤسسات المالية السعودية

المؤسسات المالية الخاضعة لرقابة SAMA التي تتبنى منهجية DevSecOps وتدمج أدوات مسح الثغرات مثل Trivy في خطوط CI/CD الخاصة بها، معرضة لخطر مزدوج: أولاً، مخاطر مباشرة تتمثل في سرقة مفاتيح بيئات السحاب والوصول غير المصرح به إلى قواعد الشيفرة المصدرية وبيانات العملاء. ثانياً، مخاطر تنظيمية تنبع من متطلبات الإبلاغ عن الاختراقات وفق إطار SAMA CSCC (المجال الأول: الحوكمة السيبرانية) ونظام حماية البيانات الشخصية PDPL الذي يُلزم بالإبلاغ عن أي اختراق قد يطال بيانات العملاء. وبمعزل عن استخدام Trivy تحديداً، يُشير هذا الحادث إلى ثغرة مفاهيمية أعمق: ثقة مفرطة في أدوات الجهات الخارجية المدمجة في خطوط التطوير دون مراجعة دورية لسلامتها — وهو ما يُعدّ مخالفاً لمتطلبات إدارة مخاطر طرف ثالث في إطار NCA ECC.

التوصيات والخطوات العملية

1. تدقيق فوري في سجلات CI/CD: ابحث عن أي تنفيذ لـ Trivy أو trivy-action أو setup-trivy في الفترة من 19 إلى 20 مارس 2026 بين الساعتين 17:00 و05:00 UTC، وتحقق مما إذا كان الإصدار المستخدم هو v0.69.4 تحديداً.
2. تدوير شامل لبيانات الاعتماد: إذا تأكد وجود أي استخدام للإصدار الملوث، دوّر فوراً جميع مفاتيح AWS/GCP/Azure ورموز Kubernetes ومفاتيح SSH وأي أسرار أخرى كانت متاحة داخل بيئة التطوير وقت الهجوم.
3. تثبيت إصدارات GitHub Actions بـ SHA-256: أوقف استخدام الوسوم المرنة مثل v1 أو latest، واستبدلها بقيمة hash محددة وثابتة — هذا يمنع إعادة توجيه الوسوم خلسةً إلى ملتزمات ضارة.
4. مراجعة سياسة SBOM لأدوات التطوير: طبّق قائمة مواد البرمجيات (Software Bill of Materials) على أدوات خط التطوير نفسه، وليس فقط على التطبيقات التي تطوّرها مؤسستك.
5. تطبيق مبدأ الحد الأدنى من الصلاحيات على CI/CD: قيّد صلاحيات خطوط التطوير بأدنى حد ممكن، وفعّل Just-in-Time Access لتقليص نافذة الاستغلال المحتملة.
6. توثيق المخاطر وفق SAMA CSCC: سجّل هذا التقييم ضمن إطار إدارة مخاطر سلسلة التوريد البرمجية وفق متطلبات المجال الثالث (أمن نظم المعلومات) من إطار SAMA CSCC.

الخلاصة

هجوم TeamPCP على Trivy ليس مجرد ثغرة في أداة واحدة — بل هو تحذير صريح من أن أدوات الأمن نفسها يمكن أن تتحول إلى نواقل هجوم حين تُهمل ممارسات أمن سلسلة التوريد البرمجية. في قطاع مالي يتسارع نحو تبني DevSecOps وChina منهجيات Agile، لا يمكن أن يبقى خط التطوير البرمجي خارج نطاق نموذج تقييم المخاطر. الثقة العمياء في أي أداة — مهما بدت آمنة — هي ثغرة بحد ذاتها.

هل مؤسستك مستعدة؟ تواصل مع فريق فنترالينك لتقييم مجاني لمدى النضج السيبراني وفق SAMA CSCC، بما يشمل مراجعة أمن خطوط التطوير وإدارة مخاطر سلسلة التوريد البرمجية.