الأمن السيبراني
Dream تكشف عن سلسلة هجمات PHP2Shell اخترقت 25 خادمًا
أضف Unite.AI إلى مصادرك المفضلة على Google
أفادت Dream بسلسلة هجمات PHP2Shell قالت إنها اخترقت 25 خادمًا، من بينها أنظمة في بيئة مرتبطة بالحكومة الأمريكية. ويصف تحقيقها في 26 أكتوبر كيف تحولت واجهة مكشوفة لإدارة جدار ناري إلى منفذ نحو البنية التحتية الداخلية للهويات.
يتألف العدد الإجمالي المُبلّغ عنه من 24 جدارًا ناريًا طرفيًا وخادم إدارة داخلي واحد. ولم تفصح Dream عن اسم المورّد أو إصدارات البرمجيات المتأثرة، وقالت إنها أخطرت المورّد.
كيف اخترقت سلسلة الاستغلال حاجزين أمنيين
جمعت السلسلة بين PHP2Shell، المُدرجَة بالمعرّفين CVE-2026-109618 وCVE-2026-109619، وثغرة تصعيد الامتيازات في Linux المعروفة باسم Fragnesia، والمُدرجة بالمعرّف CVE-2026-46300.
تتجاوز هذه الثغرات حواجز مختلفة. إذ يتيح تنفيذ التعليمات البرمجية عن بُعد للمهاجم تشغيل التعليمات عبر خدمة يمكن الوصول إليها. ثم يمكن لتصعيد الامتيازات محليًا تحويل موطئ قدم محدود إلى سيطرة على نظام التشغيل. ويؤدي الجمع بينهما إلى تغيير متطلبات الاستجابة للحادثة: إذ يتعين على المحققين النظر في ما يمكن للجهاز المخترق الوصول إليه خارج واجهة إدارته.
تصف Red Hat ثغرة Fragnesia بأنها خلل في النظام الفرعي XFRM ESP-in-TCP ضمن نواة Linux. وقد تتيح المعالجة غير الآمنة للبيانات المشفّرة لمهاجم محلي منخفض الامتيازات تعديل ذاكرة الصفحات المؤقتة للملفات المخصصة للقراءة فقط، والكتابة فوق الملفات الثنائية ذات الامتيازات، والحصول على امتيازات الجذر. لذا فهي آلية مستقلة لتصعيد الامتيازات، وليست نقطة الدخول الأولية التي لا تتطلب مصادقة.
أكدت Dream استخراج بيانات اعتماد حساب خدمة LDAP والاستعلام عن محتويات الدليل. لكنها لم تتمكن من تحديد ما إذا كانت محاولات رش كلمات المرور، أو إنشاء حساب خلفي، أو استخراج مفتاح توقيع SAML قد نجحت. ولهذه الحدود أهمية: فالوصول المؤكد إلى معلومات الدليل لا يثبت الاستيلاء الكامل على Active Directory.
ما الذي تثبته الأدلة المتعلقة بالذكاء الاصطناعي
عثر المحققون على Claude Code مثبتًا، وعلى منصة هجومية مهيأة باستخدام DeepSeek وKimi. وقالت Dream إنها لا تملك دليلًا مباشرًا على أن هذه الأدوات كتبت الشيفرة الاستغلالية أو نصوص ما بعد الاختراق، كما لم تصف العملية بأنها مستقلة بالكامل. أما ترجيحها وجود صلة بالصين فظل احتمالًا غير مؤكد؛ ولم تسمِّ أي جهة تهديد.
بالنسبة إلى المدافعين، يميّز ذلك بين الأدوات التي يمكن رصدها والاستنتاجات المتعلقة بمَن ألّف الشيفرة، وهوية المشغّل، ومدى الاستقلالية. قد يدعم وجود مساعد برمجي فرضية بشأن سير العمل، لكنه لا يثبت بمفرده القرارات التي اتخذها النموذج أو الجهة التي وجّهت العملية.
إصلاحات PHP ونافذة الاستغلال السابقة
يحدد إشعار مشروع PHP الصادر في 21 أكتوبر الإصدارات الأمنية 8.5.12 و8.4.27 و8.3.36 و8.2.35، التي تعالج ثغرتي تنفيذ التعليمات البرمجية عن بُعد الحرجتين. تتعلق إحداهما بالتعامل مع نفاد الذاكرة، ما يؤدي إلى بقاء بيانات الطلب الداخلية مهيأة جزئيًا؛ أما الأخرى فتتعلق ببقاء حالة داخلية قديمة بعد تحرير الذاكرة التي كانت مخصصة لها.
يحذّر المشروع من أن تثبيتات PHP التي تعالج طلبات الويب معرضة للخطر، وأن أعلى مستوى للمخاطر المُقيّمة يتعلق بإعداد mod_php في Apache. ويشير إلى أن إجراءات التخفيف الجزئية لا توفر حماية كاملة، ويوصي المستخدمين بالتحديث. أما في الأجهزة المعبأة مسبقًا، فيعتمد مسار المعالجة العملي على البرامج الثابتة التي يدعمها المورّد والإصلاحات التي أُدرجت في الإصدارات السابقة، لا على رقم إصدار بيئة التشغيل وحده.
سبق أن تناولت Unite.AI تصحيحات PHP ودور الذكاء الاصطناعي المتقدم في اكتشاف الثغرات. وينقل هذا التقرير الجديد الاهتمام من الاكتشاف إلى عواقب نشر نظام مكشوف.
وفي سياق منفصل، أفادت Amazon Threat Intelligence بمحاولات لاستغلال PHP2Shell في شبكة مصائد MadPot، بدءًا من 17 أكتوبر، أي قبل الإفصاح العلني. ولا تثبت هذه البيانات الرصدية أن المشغّل نفسه نفّذ الحملة التي تصفها Dream.
توصي AWS بقياس المدة اللازمة للتخفيف من الثغرات الحرجة المواجهة للإنترنت بالساعات، وبدء التحقيق من أقدم تاريخ معروف للاستغلال بدلًا من تاريخ الإفصاح، وتطوير وسائل كشف لا تعتمد حصرًا على بصمة خاصة بمعرّف CVE. وفي حالة PHP2Shell، توصي بالرجوع في التحقيق إلى 17 أكتوبر على الأقل.
موضع تقنية Dream
على موقع الشركة، تقدم Dream نظام Hero بوصفه نظامًا مستقلًا للبحث في الأمن السيبراني، يدعم التحقيق في الثغرات، والهندسة العكسية للبرمجيات الخبيثة، والتحليل الجنائي، والتحقق من الإصلاحات. أما منصة Sphere المكملة له، فتركز على رسم خريطة التعرض للمخاطر وترتيب أولويات الدفاع في البيئات الحكومية وبيئات البنية التحتية الحيوية.
يكمن الفرق التقني بين التحقيق في ثغرة بعينها وفهم مواضع تأثيرها في شبكة تشغيلية. فقد يكون للجهاز الطرفي، وخادم إدارته، ودليل الهويات مالكون مختلفون ودورات تحديث منفصلة، ومع ذلك يستطيع المهاجم ربطها في مسار واحد. وتتطلب المكافحة الفعالة فحص ذلك المسار بالتوازي مع تثبيت التحديثات ذات الصلة.
