متسللون مرتبطون بالصين يخترقون شبكة حكومية أمريكية عبر PHP2Shell

استخدم متسللون مشتبه بارتباطهم بالصين ثغرات PHP2Shell وثغرة في نواة Linux لاختراق شبكة مرتبطة بالحكومة الأمريكية، وفقاً لـ Dream. وقالت الشركة إن المهاجمين اخترقوا 24 جدار حماية بعد فحص 19,000 جهاز مواجه للإنترنت في أربع دول. وكُشف الاختراق في 25 أكتوبر، ويُوصف بأنه أول حالة موثقة لتسلسل ثغرات PHP2Shell في اختراق كامل لشبكة حكومية.

كيف عمل الهجوم

يأتي الاختراق بعد الكشف عن ثغرتين حرجتين في PHP، كل منهما بتصنيف شدة 9.2، ويُطلق عليهما معاً PHP2Shell. وقالت Dream إن المهاجمين جمعوا بين ثغرتين PHP2Shell، هما CVE-2026-109618 وCVE-2006109619، وثغرة في نواة Linux تُدعى Fragnesia، CVE-2026046300، للحصول على وصول root إلى جدران الحماية غير المحصنة من دون مصادقة. وقال Kfir Fleischer، نائب رئيس المنتجات وأبحاث الأمن السيبراني في Dream، إن PHP2Shell صعب الاستغلال بشكل موثوق لأنه يتطلب إزاحات ذاكرة دقيقة وفق الإصدار، ولا يوجد استغلال عام. وقال إن المهاجم اضطر إلى ربطه بثغرة تصعيد امتيازات محلية إضافية، مما جعل الهجوم إجمالاً سلسلة من مرحلتين. وقالت Dream إن حتى في الظروف المثلى، نجح نحو 10% فقط من المحاولات، وكانت معظم الإخفاقات ناتجة عن انتهاء المهلة.

النطاق والأهداف

أعاد باحثو Dream بناء العملية باستخدام نظامها الداخلي للبحث بالذكاء الاصطناعي، Hero، بعد استعادة سجلات المهاجم، وأدوات الاستغلال، ونحو 40 سكربت ما بعد الاستغلال. وحدد المهاجمون 19,000 جدار حماية مواجه للإنترنت، وضيّقوا هدفهم إلى 240 جهازاً ضعيفاً في الولايات المتحدة، واليابان، وتايوان، وكوريا الجنوبية. ونجحوا في اختراق 24 جدار حماية قبل استهداف خادم إدارة داخلي ينتمي إلى منظمة مرتبطة بالحكومة الأمريكية لم يُذكر اسمها. وقالت Dream إن المهاجمين حافظوا على الوصول، واخترقوا خادم إدارة جدار الحماية الرئيسي، وسرقوا بيانات اعتماد Active Directory، مما قد يسمح لهم بالوصول إلى مزيد من الشبكة. ثم أدرج المهاجمون حسابات المستخدمين والمجموعات، وجربوا كلمات مرور شائعة عبر حسابات كثيرة، وحاولوا إنشاء حسابات وصول سرية وسرقة مفاتيح التوقيع، لكن الباحثين لم يتمكنوا من تحديد ما إذا نجحت هذه الهجمات الإضافية.

إشارات الذكاء الاصطناعي والاستجابة الأوسع

كما حددت Dream إشارات محتملة لمشاركة الذكاء الاصطناعي في الحملة، بما في ذلك تثبيتات Claude Code وأدوات أمنية هجومية مُهيأة بنماذج صينية هي DeepSeek وKimi. ولم تنسب الشركة النشاط إلى ممثل تهديد محدد، لكنها قالت إنها تعتقد أن الحملة جزء من عملية مرتبطة بالصين بسبب التعليمات النصية، والطوابع الزمنية، والاستهداف الجغرافي. وأكدت CISA استغلالاً نشطاً وأمرت الوكالات الفيدرالية بتطبيق التخفيف بحلول 29 أكتوبر. وأفاد Cybernews أن 32.5 مليون خدمة PHP لا تزال تشغّل إصدارات معرضة، بما في ذلك 10.3 مليون في الولايات المتحدة، بينما رصد Amazon محاولات استغلال PHP في وقت مبكر من 17 أكتوبر، أي قبل أربعة أيام من الكشف العام، ولاحظ Cloudflare ملايين محاولات الهجوم بعد الإعلان.

تغطية سابقة: CISA تضيف ثغرتين PHP2Shell RCE إلى كتالوج KEV

المصادر: Cybernews