bunny.net تعيد إصدار كل شهادات TLS المُدارة بمفاتيح خاصة جديدة بعد اختراق لدى مزوّد خوادم
نشرت خدمة bunny.net، وهي شبكة توزيع محتوى CDN منخفضة التكلفة، تحديثًا أمنيًا على صفحة حالتها، آخره يوم 29 أكتوبر 2026 الساعة 18:40 بتوقيت UTC. وتقول الشركة إن مزوّد بنية تحتية تستأجر منه خوادم أبلغها بوصول غير مصرّح به، تم عبر برنامج طرف ثالث لإدارة الخوادم.
وكانت إحدى عقد الـ CDN التابعة لها، في أرمينيا، تعمل على خادم من هذا المزوّد. وخلال 20 دقيقة أوقفت الشركة تمرير الحركة عبر الخادم، ثم حفظت السجلات، ومسحت الخادم بطريقة آمنة، وسحبت صلاحياته على أنظمتها الأخرى، وأزالت العقدة نهائيًا. ولم يجد تحقيقها دليلًا على وصول إلى العقدة نفسها أو إلى بياناتها.
والخطوة التالية هي الأهم. فالشركة تعيد إصدار كل شهادات TLS المُدارة للنطاقات المخصصة، على دفعات، وكل شهادة جديدة بمفتاح خاص جديد. ومن المتوقع أن تكتمل العملية بنهاية 31 أكتوبر. وتظل الشهادات الحالية تعمل حتى استبدالها، ولا يُطلب أي إجراء من أصحاب الشهادات المُدارة. أما من يدير شهاداته بنفسه، فتوصيه الشركة احتياطيًا بسحبها وإعادة إصدارها بمفتاح جديد.
والسبب في تغيير المفتاح أن الشهادة الجديدة بالمفتاح الخاص القديم لا تعالج شيئًا. فالشهادة وثيقة عامة، أما المفتاح الخاص فهو ما يثبت هوية الخادم. وإذا احتمل أن يكون المفتاح قد وُجد على جهاز مكشوف، فكل شهادة مبنية عليه تحمل الاحتمال نفسه.
وتكشف الحادثة طبقة لا تظهر عادة لمن يشتري الخدمة. فالمفتاح كان على جهاز لا يملكه العميل ولا مزوّده المباشر، لأن المزوّد نفسه يستأجر من مزوّد آخر. وهذا وضع معتاد في البنية التحتية، لكنه يعني أن سلسلة الثقة أطول مما هو مكتوب في العقد، وأن قرار المزوّد الثالث قد يصل إلى نطاق موقعك.