هكرز صينيون يستغلون ثغرتي PHP2Shell لاختراق جدران الحماية
أظهرت تحقيقات أمنية حديثة كيف قام مهاجمون مرتبطون بالصين بتسلسل ثغرات برمجية خطيرة للسيطرة على بنية تحتية حرجة.
رضوان عبدالهاديمحرر وكاتب تقني
كشف حملة الاختراق المنسقة
أفادت شركة الأمن السيبراني Dream بوجود فاعل تهديد مرتبط بالصين يقوم باستغلال ثغرات PHP2Shell للحصول على صلاحيات جذرية (Root) على جدران الحماية ونشر قواقع ويب (Webshells) للوصول الدائم. وتضمنت الهجمات تسلسلاً دقيقاً لاستغلال ثغرتين في لغة PHP، تم تعقبهما تحت المعرفات CVE-2026-109618 وCVE-2026-109619، مع ثغرة Fragnesia الخاصة بترقية الصلاحيات في نواة نظام لينكس، والتي تحمل الرقم CVE-2026-46300.
آلية تحديد الأهداف الأولية
كجزء من الهجمات المرصودة، استخدم المهاجمون محرك البحث الصيني عن الأصول على الإنترنت FOFA لتحديد 19,000 جدار حماية متصل بالإنترنت من مورد معين. وبعد ذلك، قاموا باستغلال 25 من هذه الأجهزة خلال يومي 23 و24 أكتوبر. وبعد الاكتشاف، قام المهاجمون أولاً بتصفية الخوادم الموجودة في الولايات المتحدة واليابان وتايوان وكوريا الجنوبية، ثم تصفية تلك التي تعمل بإصدارات أحدث من PHP، مما أعطاهم مجموعة من 240 هدفاً محتملاً.
تنفيذ سلسلة الاستغلال الآلي
باستخدام أداة آلية، استهدف المهاجمون جدران الحماية بسلسلة استغلال PHP2Shell-Fragnesia الكاملة، مما أدى إلى إسقاط قوقعة ويب جذرية PHP على 24 جهازاً للوصول الدائم. وعلى الرغم من عدم ملاحظة أي نشاط ما بعد الاستغلال على 22 من جدران الحماية، إلا أن المهاجمين تقدموا بشكل أكبر على خادمين ينتميان إلى بيئة تابعة لحكومة الولايات المتحدة.
تفاصيل الهجوم على الخوادم الحكومية
انهار الخادم الأول الذي تم اختراقه جذرياً بعد فترة وجيزة من الاستغلال في 23 أكتوبر. وأطلق المهاجم موجة ثانية من الهجمات في 24 أكتوبر، والتي كانت ناجحة. ولاحظت Dream أن المهاجم راقب الجدار الأول عبر 240 استكشافاً آلياً على مدى ساعتين، بانتظار تعافيه، لكن ذلك لم يحدث. أما الجدار الثاني، الذي ربطت بيانات شهادته بشكل قاطع بالجهة المستهدفة، فقد انتهت مهلته أثناء الدفعة الأصلية.
الوصول الدائم والتحرك الداخلي
للحفاظ على الوصول إلى جدار الحماية، نشر المهاجمون نفق SSH عكسي، ثم استخدموه لاستهداف خادم إدارة جدران الحماية الداخلي بسلسلة PHP2Shell-Fragnesia، مما منحهم الوصول إلى إعدادات ومعلومات الاعتمادات وإعدادات كل جدار حماية تديره المنظمة.
الأنشطة ما بعد الاختراق
استخدم المهاجمون خادم الإدارة للوصول إلى كلمة مرور حساب الخدمة LDAP وفك تشفيرها، وإحصاء المستخدمين والمجموعات في النطاق، وتنفيذ هجمات رش كلمات المرور، ومحاولة إنشاء حسابات خلفية في Active Directory، بين أمور أخرى.
التقييم الاستخباراتي للتهديد
لم تعز Dream النشاط إلى فاعل تهديد محدد، لكنها تعتقد أنه جزء من عملية ذات صلة بالصين. وأشارت الشركة إلى أن الولايات المتحدة واليابان وتايوان وكوريا الجنوبية هي الأعداء الاستراتيجيون الأربعة الرئيسيون والأهداف الاستخباراتية للعمليات السيبرانية الصينية المدعومة من الدولة في مسرح المحيط الهادئ، مما يشير إلى جهود محتملة من قبل خصوم دوليين.
المصادر
- SecurityWeekChina-Linked Hackers Exploit PHP2Shell to Root Firewalls
تابع التسلسل الزمني
أخبار مرتبطة
PHP تحذر من إصدار 3 تصحيحات أمنية طارئة خلال ساعات
فريق تطوير PHP يعلن عن إصدار تصحيحات عاجلة لثمن ثغرات حرجة تسمح بالتنفيذ عن بُعد. خبراء أمنيون يحذرون من هجمات واسعة النطاق فور توفر التحديثات.
ثغرتان حرجتان في PHP كادتا تُسقطان الإنترنت العالمي
اكتشفت ثغرتان حرجتان في لغة PHP التي تشغّل 70% من الويب، مهددتين بتعطّل واسع. أصدرت المؤسسة تصحيحات عاجلة بعد تنسيق صناعي دقيق لتفادي كارثة رقمية.
فريق PHP يكشف إجراءات مؤقتة لثغرة تنفيذ عن بُعد حرجة
أصدر فريق أمن PHP توصيات لتخفيف ثغرة CVE-2026-115560 التي تتيح تنفيذ أكواد عن بُعد في أنظمة محددة، مع تأكيد عدم توفر تصحيح برمجي فوري.
AWS تكشف استغلال ثغرات PHP2Shell قبل إصدار التصحيحات بأربعة أيام
كشفت أبحاث Amazon Web Services عن محاولات استغلال ثغرات PHP2Shell الحرجة في 17 أكتوبر، أي قبل أيام من الإعلان الرسمي. هذا التسريب الأمني يسلط الضوء على سرعة هجمات القرصنة الحديثة.
