اختراق Framework 2026: سرقة بيانات جميع العملاء من خلال ثغرة في مزود الطرف الثالث

في 6 أغسطس 2026، بدأت شركة Framework Computer—المعروفة بحواسيبها المحمولة القابلة للتعديل والصيانة—بإرسال رسائل بريد إلكتروني إلى جميع عملائها تخبرهم فيها بأن بياناتهم الشخصية قد سُرقت. الاختراق لم يبدأ من أنظمة Framework نفسها، بل يعود إلى مزود تحليلات تابع لجهة خارجية يُدعى Metabase. استغل المهاجمون ثغرة أمنية غير معروفة سابقًا وبدرجة خطورة قصوى. فيما يلي تفصيل كامل لما كشفت عنه Framework.

ما هي البيانات الشخصية التي سُرقت

أكدت Framework أن المهاجمين تمكنوا من الوصول إلى مجموعة واسعة من المعلومات الشخصية (PII) لقاعدة عملائها بأكملها . البيانات المسروقة تشمل:

• الأسماء الكاملة
• عناوين البريد الإلكتروني
• أرقام الهواتف
• عناوين الشحن والسكن
• عناوين IP الخاصة بتسجيل الدخول

بالنسبة لعملاء الشركات، قد تتضمن المعلومات المكشوفة أيضًا أسماء الشركات والمسميات الوظيفية وأرقام هواتف العمل .

ما الذي لم يُسرق

أوضحت Framework صراحةً أنه لم يتم الوصول إلى أي معلومات دفع أو طلبات شراء. أرقام بطاقات الائتمان والتفاصيل المالية وسجل المشتريات لم تتأثر . هذا فارق مهم—فبينما الاختراق خطير ويعرض العملاء لخطر التصيد الاحتيالي والهندسة الاجتماعية، تبقى البيانات المالية آمنة.

عدد العملاء المتضررين

قالت Framework إنها أبلغت "جميع العملاء"—أي أن الاختراق طال قاعدة عملائها بأكملها . لكن الشركة لم تفصح علنًا عن العدد الدقيق للأفراد المتضررين. المتحدث باسم Framework، إريك شوماخر، أخبر TechCrunch أن الاختراق أثر على "جميع العملاء" لكنه رفض تحديد عدد معين . أحد التقارير قدّر العدد بحوالي 18,000 عميل بناءً على حجم مجتمع المستخدمين المعروف، لكن هذا ليس رقمًا رسميًا وقد يكون أقل من الواقع بكثير .

مزود الطرف الثالث: Metabase

ألقت Framework باللوم الكامل على Metabase، منصة معلومات الأعمال مفتوحة المصدر (BI) التي تستخدمها Framework لاستضافة بيانات التحليلات . هذه هجمة نموذجية عبر سلسلة التوريد—أنظمة Framework نفسها لم تُخترق مباشرة، لكن مزودًا موثوقًا تعرض للاختراق.

الثغرة: CVE-2026-72898

كانت وسيلة الهجوم ثغرة حقن SQL (SQL Injection) غير مصادَق عليها من نوع "اليوم الصفر" (zero-day) في برنامج Metabase . الخصائص الرئيسية:

• درجة CVSS: 10.0 (أقصى خطورة)
• رقم CVE: CVE-2026-72898
• الإصدارات المتأثرة: Metabase من 1.58 إلى 1.63
• طريقة الهجوم: سمحت الثغرة لمهاجم عن بُعد بإدخال SQL عشوائي في قاعدة بيانات تطبيق Metabase عبر نقطة النهاية /reset_password، مانحةً إياه صلاحية المسؤول الكاملة دون أي بيانات اعتماد
• التأثير: بمجرد حصول المهاجم على صلاحية المسؤول، يمكنه سرقة بيانات الاعتماد المخزنة لقاعدة البيانات وأي بيانات قابلة للوصول، بما في ذلك المعلومات الشخصية للعملاء

ما كشفته Metabase

كشفت Metabase عن الحادثة في 6 أغسطس 2026، معلنةً أن منصة Metabase Cloud SaaS قد تم اختراقها عبر هذه الثغرة غير المعروفة سابقًا . الجدول الزمني والتفاصيل الرئيسية:

• 3 أغسطس 2026: حدث الاستغلال—قبل ثلاثة أيام من إصدار التصحيح
• 6 أغسطس 2026: أبلغت Metabase العملاء المتأثرين، بما فيهم Framework و Tally
• 7 أغسطس 2026: أصبحت الحوادث علنية
• تصحيح طارئ: أصدرت Metabase إصلاحات للإصدارات 1.58+. الإصدارات المستضافة ذاتيًا (self-hosted) التي تعمل بالإصدارات 1.58 حتى 1.63 كانت أيضًا عرضة للخطر وتحتاج إلى تحديث فوري

حذرت Metabase من أن الاستغلال يمكن أن يكشف، بالإضافة إلى بيانات العملاء، بيانات اعتماد قاعدة البيانات المخزنة والرموز المميزة ومفاتيح API وغيرها من بيانات التكوين الحساسة من الإصدارات المتضررة . وهذا يعني أن نطاق الضرر امتد إلى أبعد من مجرد بيانات العملاء التي تكشف عنها Framework—يمكن للمهاجمين الانتقال من Metabase إلى أنظمة أخرى متصلة.

سياق سلسلة التوريد: حملة أوسع

لم تكن Framework الشركة الوحيدة المتضررة. مع تقدم التحقيقات، أكدت خمس شركات على الأقل علنًا تعرضها للاختراق :

• Framework (7 أغسطس)—سرقة المعلومات الشخصية للعملاء
• Tally (7 أغسطس)—منصة لبناء النماذج؛ تعرض عناوين البريد الإلكتروني وتجزئات كلمات المرور
• n8n (8 أغسطس)—منصة أتمتة سير العمل
• Kilo Code / Anaconda (9 أغسطس)—منصة برمجة بالذكاء الاصطناعي
• ChecklyHQ (10 أغسطس)—منصة مراقبة

هذا النمط يظهر أن ثغرة Metabase الصفرية استُغلت كأداة هجوم عام ضد عدة مستأجرين سحابيين، وليس كاختراق موجه ضد Framework فقط.

ماذا يجب على عملاء Framework فعله

إخطار Framework الرسمي، كما ورد في عدة منافذ إعلامية، تضمن إرشادات للعملاء. بناءً على أنواع البيانات المسروقة وممارسات الرد القياسية على الاختراقات، يجب على العملاء المتضررين:

1. مراقبة محاولات التصيد الاحتيالي: المهاجمون يمتلكون الآن الأسماء وعناوين البريد وارقام الهواتف والعناوين الفعلية—كل مكونات هجمات التصيد شديدة الاستهداف عبر البريد الإلكتروني أو الرسائل النصية أو حتى البريد العادي
2. مراقبة الحسابات بحثًا عن نشاط مشبوه: عناوين IP لتسجيل الدخول مكشوفة؛ إذا كنت تستخدم نفس كلمة المرور في خدمات أخرى، فكر في تغييرها
3. لا تنقر على الروابط في رسائل البريد الإلكتروني غير المتوقعة حول الاختراق: من المرجح أن ينتحل المهاجمون شخصية Framework أو خدمات أمنية لخداع الضحايا للكشف عن مزيد من المعلومات أو تثبيت برامج ضارة
4. تحقق فقط من اتصالات Framework الرسمية: قالت الشركة إنها تراجع وتحسن منهجيتها لتخزين البيانات وستقدم تحديثات عبر قنواتها الرسمية

المتحدث باسم Framework أخبر TechCrunch أن الشركة "تشعر بأسف عميق لهذا الاختراق للمعلومات" وأنها "تراجع وتحسن" منهجيتها لتخزين البيانات .

النقاط الرئيسية

• قاعدة عملاء Framework بأكملها تم اختراقها عبر هجوم في سلسلة التوريد على Metabase، وليس عبر اختراق مباشر لبنية Framework التحتية.
• البيانات المسروقة تشمل المعلومات الشخصية (الأسماء والعناوين وأرقام الهواتف والبريد الإلكتروني)، لكنها لا تشمل معلومات الدفع أو الطلبات.
• الثغرة المستخدمة هي CVE-2026-72898، وهي حقن SQL بتصنيف CVSS 10.0 في Metabase الإصدار 1.58-1.63.
• Framework لم تفصح عن العدد الدقيق للعملاء، رغم إبلاغ جميع العملاء.
• على الأقل خمس شركات تأثرت بنفس حملة ثغرة Metabase الصفرية.
• يجب على جميع مستخدمي Metabase المستضافة ذاتيًا على الإصدارات المتضررة أن يكونوا قد طبقوا التصحيح فورًا في أوائل أغسطس 2026.