N環球 
أمازون: بدأت هجمات PHP2Shell قبل أربعة أيام من التصحيحات، والآن يتم استغلالها على نطاق واسع
تقول Amazon Threat Intelligence إن محاولات الاستغلال ضد عيوب PHP2Shell الحرجة بدأت في 17 أكتوبر، أي قبل أربعة أيام من شحن التصحيحات - ويتم الآن استغلال العيوب على نطاق واسع.
لماذا يهم
تعمل لغة PHP على تشغيل ما يصل إلى 80% من مواقع الويب في جميع أنحاء العالم، بما في ذلك WordPress وDrupal وJoomla. يسمح العيبان الخطيران (CVE-2026-109618 وCVE-2026-109619، CVSS 9.2) بتنفيذ تعليمات برمجية عن بعد للمصادقة المسبقة. أكدت أمازون أن المهاجمين لم ينتظروا الكشف العلني: وصلت محاولة الاستغلال الأولى في 17 أكتوبر، قبل أربعة أيام من قيام مؤسسة PHP بشحن التصحيحات في 21 أكتوبر. ولم يعد الافتراض بأن تاريخ الكشف يمثل بداية الهجمات قائمًا - يجب على المدافعين بدء تحقيقاتهم اعتبارًا من 17 أكتوبر.
تقرير كامل
كشف فريق استخبارات التهديدات في أمازون في منشور مدونة أمنية يوم 22 أكتوبر أن شبكة MadPot honeypot الخاصة بها سجلت أول محاولة لاستغلال PHP2Shell في 17 أكتوبر، بينما كانت الثغرات الأمنية لا تزال تحت الحظر (تم الإصدار العام في الساعة 14:00 بالتوقيت العالمي يوم 21 أكتوبر). جاءت المحاولة من عنوان IP مرتبط بشبكة تجارية لإخفاء الهوية. وقال سي جيه موسيس، كبير مسؤولي أمن المعلومات في أمازون: "لا يزال من غير الواضح كيف حصل الممثل على معلومات الاستغلال قبل الكشف عنها".
في 21 أكتوبر نفسه، شهدت أمازون العديد من عمليات استغلال إثبات المفهوم، كان أولها قبل حوالي 12 ساعة من إصدار التصحيح. تباينت الحمولات والبنية التحتية المجهولة، مما يشير إلى وجود عدة جهات فاعلة متميزة. وفي غضون ساعات من شحن التصحيح، تم تشغيل ثغرات جديدة على أجهزة استشعار أمازون. تصف أمازون الآن PHP2Shell بأنها "تُستغل على نطاق واسع في البرية"، وقد ارتفعت المحاولات التي شاهدتها Cloudflare إلى الملايين.
قال Dataminr في نفس اليوم أن النشاط المرصود يظل مقتصرًا على المسح الضوئي وبصمات الأصابع والثغرات غير العاملة، دون أي تنازلات معروفة - ولكن ثغرات العمل هي مسألة وقت فقط.
الخلفية
تؤثر العيوب على كل إصدار PHP 7.x و8.x وقد اكتشفها باحثون من Calif وOpenAI وWiz المملوكة لشركة Google. ظلت التعليمات البرمجية التي تجرها الدواب موجودة في PHP لسنوات حتى استخدمت عملية التدقيق التي مولتها OpenAI في أغسطس نموذجًا للذكاء الاصطناعي لإظهار أنه قابل للاستغلال عمليًا - وهو أصل اسم "PHP2Shell". الإصدارات الثابتة: PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35.
نصيحة أمازون: ترقية PHP هي العلاج الكامل الوحيد؛ وينبغي أن تبدأ التحقيقات اعتباراً من 17 أكتوبر/تشرين الأول؛ الأنظمة التي لا يمكنها التصحيح بعد قد تفكر في حظر تحميلات الملفات متعددة الأجزاء بعد اختبار ما يعطل ذلك.
💬 Comments
No comments yet. Be the first!