أجرى فريق البحث والتحليل العالمي في كاسبرسكي (GReAT) مراجعة شاملة لمسارات عمل GitHub Actions في المستودعات الأعلى شهرة. واستخدم الباحثون القدرات الحديثة في منصة Kaspersky Container Security، فاكتشفوا 8 مستودعات فيها إعدادات خاطئة خطيرة ربما تؤدي إلى اختراق سلسلة التوريد.
باتت مكونات المصادر المفتوحة ضرورية لهندسة البرمجيات الحديثة، بيد أنّها تشكل أيضاً ثغرات خفية لهجمات سلسلة التوريد مثل حملة Mini Shai-Hulud الشهيرة التي شنّها فريق TeamPCP في مايو 2026. فقد استغل هذا الهجوم نقاط ضعف أمنية في مسارات البناء البرمجي ضمن GitHub Actions، وتسبب في اختراق أكثر من 170 حزمة npm وPyPI، وألحق الضرر بمشاريع مثل TanStack، وMistral AI، وOpenSearch. وعلى العموم، يمكن أن يحوّل سوء تكوين مسارات العمل في GitHub Actions مسارات التطوير الموثوقة إلى منافذ اختراق خطيرة، مما يتيح للمهاجمين اختراق مسارات العمل الآلية، أو إدخال برمجيات خبيثة إلى بيئات الإنتاج، أو الوصول إلى مفاتيح البنية التحتية الحيوية.
أكمل خبراء Kaspersky GReAT تقييماً شاملاً لمسارات العمل في GitHub Actions؛ إذ حللوا أكثر من 130 ألف مسار عمل موزع عبر 30 ألفاً من أفضل المستودعات المميزة في المنصة. وبالاعتماد على مجموعة قواعد الفحص المتخصصة التي تضمنها التحديث الأخير لمنصة Kaspersky Container Security، حدد الباحثون أكثر من 250 ألف خطأ محتمل في عمليات التكامل المستمر/التسليم المستمر (CI/CD)، مما يدل على الانتشار الواسع لإعدادات التكوين غير الآمنة. والجدير بالذكر أن 10% من المستودعات التي تم تحليلها لم تسجل أي تنبيهات.
أظهر التحليل أنّ المشكلات المكتشفة صنفت على أنها منخفضة الخطر بنسبة 59.8%، ومتوسطة الخطر بنسبة 39.8%، ومرتفعة الخطر بنسبة 0.4%، وذلك وفقاً لتصنيف كاسبرسكي. وتتضمن أبرز المشكلات المتكررة والشائعة منح صلاحيات وصول ضمنية أو واسعة النطاق، وعدم ربط الإصدارات بتبعيات محددة، والإعدادات على مستوى مسار العمل. ومن ناحية أخرى، يقلّ عدد المستودعات التي تكشف ملفات سرية عالية المستوى، أو تعتمد على ظروف تشغيل غير آمنة، أو تعالج البيانات الخارجية بطريقة غير آمنة، مما يؤدي إلى اختراقات أمنية أشد خطورة.
ومن أصل 200 مستودع وصفت بأنها عالية الخطورة، اكتشف الفريق 8 مستودعات فيها عيوب حرجة ربما تؤدي إلى اختراق سلسلة التوريد. وتضمنت المستودعات المتضررة شريحة واسعة من حالات الاستخدام العملية مثل دمج الذكاء الاصطناعي في بيئات المؤسسات، وخدمات المطورين والأتمتة، وأدوات الاختبار الأمنية. وقد جرى إبلاغ المطورين المعنيين بالمشكلات الحرجة التي اكتشفها باحثو كاسبرسكي.
يعلق على هذه المسألة ليونيد بيزفيرشينكو، وهو باحث أمني أول في فريق البحث والتحليل العالمي (GReAT): «رصدنا خلال العام الماضي هجمات خطيرة على سلاسل التوريد، وقد كان ممكناً تلافيها باتباع إرشادات تكوين مسارات التكامل المستمر/التسليم المستمر الآمنة. وصحيح أنّ المشكلات المكتشفة لا تشير بالضرورة إلى ثغرات أمنية قابلة للاستغلال، لكنها تبرز مواضع ينبغي للمطورين التحقق منها وتقوية إعداداتها. فمن خلال تحديد مكامن الضعف مبكراً، يمكن للمؤسسات بناء مسارات عمل أكثر مناعة، وتقليل احتمالية اختراق سلاسل التوريد. وتوفر القواعد المطورة لحلنا الأمني الخاص بالحاويات إطاراً عملياً لتحديد هذه الفجوات ومعالجتها قبل استغلالها.»
لاكتشاف المشكلات الأمنية المحتملة الناجمة عن سوء التكوين والتخفيف من آثارها، يمكن لمستخدمي Kaspersky Container Security استخدام فحص مستودعات GitHub، سواءً أكان مُدمجاً مباشرةً في مسارات التكامل المستمر/التسليم المستمر، أو يعمل بطريقة مستقلة.
