«جيت برينز» (JetBrains)، الشركة المعروفة بأدوات التطوير الشاملة، أصدرت مؤخرًا تحذيرًا أمنيًا بشأن حادثة شهادات eMudhra الرقمية التي تؤثر على مجموعة واسعة من منتجاتها وبيئات التطوير. هذه الحادثة، التي تُعد مشكلة أمنية واسعة النطاق في الصناعة، تتطلب اهتمامًا فوريًا من المطورين لضمان استمرارية وأمان مشاريعهم.
تفاصيل حادثة eMudhra الأمنية
في 17 أكتوبر 2026، كشف باحث أمني عن ثغرة حرجة تتعلق بشهادات eMudhra الوسيطة. الثغرة تسمح باستعادة المفاتيح الخاصة المرتبطة بثماني سلطات شهادات وسيطة (CA) تابعة لـ eMudhra، وذلك بسبب ضعف في آلية توليد هذه المفاتيح. هذا يعني أن المهاجمين يمكنهم نظريًا إنشاء شهادات تبدو موثوقة للأنظمة التي لا تزال تقبل سلاسل الشهادات المتأثرة.
استجابةً لذلك، اتخذت شركات متصفحات الويب ومقدمو أنظمة التشغيل خطوات لحظر الشهادات المتأثرة. لكن المشكلة لا تتوقف هنا؛ فالتطبيقات التي تستخدم مخازن ثقة شهادات منفصلة أو مجمعة قد تحتاج إلى تحديثات إضافية، وهذا هو ما ينطبق على العديد من أدوات التطوير.
كيف تأثرت منتجات JetBrains؟
أكدت فرق الأمن والمنتجات في JetBrains أن الحادثة تؤثر على عدد من منتجاتها الأساسية، بما في ذلك بيئات التطوير المتكاملة (IDEs)، وToolbox App، وTeamCity، وYouTrack، وHub، وغيرها من أدوات المطورين. تجدر الإشارة إلى أن JetBrains لم تعلم بأي استغلال لهذه الثغرة ضد عملائها حتى الآن. تعتمد العديد من منتجات JetBrains على Java، بما في ذلك JetBrains Runtime، والتي كانت تثق في الشهادات المتأثرة.
تعمل JetBrains على إطلاق تحديثات أمنية لمعالجة المشكلة في جميع منتجاتها القابلة للتوزيع. بالنسبة لخدمات JetBrains السحابية مثل JetBrains Air وQodana Cloud وTeamCity Cloud وYouTrack Cloud وDatalore وخدمات JetBrains AI، لا يلزم اتخاذ أي إجراء من العملاء، حيث يتم تحديث البنية التحتية باستمرار. الاستثناء الوحيد هو عملاء TeamCity Cloud الذين يستخدمون وكلاء بناء ذاتيين الاستضافة، حيث يجب عليهم التحقق من Java runtime على هؤلاء الوكلاء وتحديثه إذا لزم الأمر.
نصائح للمطورين: خطوات فورية لحماية مشاريعك
- تثبيت تحديثات JetBrains الأمنية المتاحة: يجب تحديث المنتجات المتأثرة إلى أحدث الإصدارات التي تتضمن الإصلاحات الأمنية فور توفرها.
- تحديث أنظمة التشغيل وبيئات التشغيل (runtimes): تطبيق أحدث التحديثات الأمنية من بائعي أنظمة التشغيل وبيئات التشغيل، بما في ذلك تحديثات مخزن ثقة الشهادات. يمكن الرجوع إلى توصيات eMudhra الخاصة بالمطورين للحصول على إرشادات فنية إضافية.
- اتباع الإرشادات الخاصة بكل منتج: للمنتجات التي لم تتوفر لها تحديثات أمنية بعد، يجب اتباع خطوات التخفيف الموصى بها في الإشعارات الأمنية ووثائق المنتج من JetBrains.
- تحديث بيئة Java Runtime: إذا لم تتمكن من تحديث المنتج مباشرة، قم بتحديث Java runtime الذي يستخدمه. إذا كان ذلك غير ممكن، أزل شهادتي الجذر «emSign ECC Root CA – G3» و«AAA Certificate Services» من مخزن الثقة لـ Java runtime، أو وجه المنتج إلى نسخة من مخزن الثقة لا تحتوي عليهما. كما يجب تحديث حزمة ca-certificates لنظام التشغيل.
- تجنب تعطيل التحقق من الشهادات: لا يُنصح بتعطيل التحقق من الشهادات أو إضعاف آليات التحقق الأخرى كحل مؤقت، فهذا يزيد من المخاطر الأمنية.
بالنسبة للمطورين، تؤكد هذه الحادثة على الأهمية القصوى للحفاظ على بيئات التطوير محدثة بانتظام، ليس فقط على مستوى الأدوات بل وعلى مستوى أنظمة التشغيل وبيئات التشغيل الأساسية. إن مشكلات مثل ضعف الشهادات يمكن أن تؤثر على سلسلة التوريد البرمجية بأكملها وتتطلب يقظة مستمرة لضمان بقاء مشاريعنا ومنتجاتنا آمنة وموثوقة. الحفاظ على تحديثات Java Runtime وحزمة ca-certificates لنظام التشغيل أمر بالغ الأهمية.
المصدر: blog.jetbrains.com