محققان امنیتی در گزارش جدیدی از یک عملیات پیچیده پرده برداشتند که در آن مهاجمان با زنجیره‌ای از آسیب‌پذیری‌های PHP2Shell و یک نقص در سطح هسته (Kernel) لینوکس، موفق به کسب دسترسی Root در ۲۵ سرور فایروال شده‌اند. این سرورها شامل سه سیستم در محیط‌های وابسته به دولت ایالات متحده بوده‌اند.
این حمله که در تاریخ ۲۵ اکتبر شناسایی شد، از طریق رابط‌های مدیریتی فایروال‌های در معرض اینترنت آغاز شده و به مراحل سرقت اعتبارنامه (Credential Theft)، ایجاد تونل‌های پایدار (Persistent Tunneling) و شناسایی Active Directory ختم شده است.
جزئیات فنی اکسپلویت
حمله اولیه ترکیبی از دو آسیب‌پذیری PHP2Shell (با شناسه‌های CVE-2026-109618 و CVE-2026-109619) و آسیب‌پذیری Fragnesia (CVE-2026-46300) بود. پیاده‌سازی سفارشی PHP2Shell، مکانیزم session.upload_progress در PHP را هدف قرار داده و با بهره‌برداری از فساد حافظه (Memory Corruption) در سرور مدیریتی appweb، امکان اجرای دستورات بدون احراز هویت را فراهم کرده است.
فرآیند حمله شامل چهار مرحله هماهنگ بود:
- دستکاری حافظه: ارسال درخواست‌های
multipartبرای تخلیه حافظه و مدیریت رفتار تخصیص حافظه در PHP. - نشت اطلاعات (Information Leak): استخراج اشاره‌گر
libphp.soاز طریق هدرSet-Cookieجهت محاسبه آدرس‌های مورد نیاز. - اجرای دستورات: ایجاد یک ورودی جعلی در
PHP HashTableکه منجر به هدایت فراخوانی‌های پاکسازی به تابعsystem()شد و دسترسی سطح پایین (nobody account) را فراهم کرد. - ارتقاء سطح دسترسی (Privilege Escalation): استفاده از Fragnesia برای هدف قرار دادن زیرسیستم
XFRM ESP-in-TCPدر هسته لینوکس و تغییر فایل/etc/pam.d/suجهت امکان ورود بدون رمز عبور.
گستره حمله و فعالیت‌های پس از نفوذ
مهاجمان با استفاده از موتور جستجوی FOFA، حدود ۱۹,۰۰۰ فایروال در معرض خطر را شناسایی کردند. از میان آن‌ها، ۲۴۰ هدف انتخاب شده و در نهایت ۲۴ فایروال به طور خودکار روت (Root) شدند. پس از نفوذ، مهاجمان با ایجاد تونل‌های Reverse SSH و پروکسی‌های SOCKS5، دسترسی خود را از طریق systemd و rc.local تثبیت کردند.
در مراحل نفوذ به شبکه داخلی، مهاجمان موفق به رمزگشایی رمز عبور یک حساب سرویس LDAP شده و اقدام به بررسی کاربران و گروه‌های دامنه کردند. همچنین تلاش‌هایی برای Password Spraying، ایجاد حساب‌های Backdoor و استخراج کلیدهای امضای SAML مشاهده شده است.
ارتباط با گروه‌های تهدید
وجود دستورات به زبان چینی، برچسب‌های زمانی UTC+8 و استفاده از مدل‌های هوش مصنوعی مانند DeepSeek و Kimi، احتمال ارتباط این عملیات با یک گروه با پشتوانه چینی (Chinese Nexus) را تقویت می‌کند؛ هرچند هنوز انتساب رسمی به عامل تهدید خاصی صورت نگرفته است.
به‌روزرسانی (اکتبر 29, 2026 — The Hacker News)
به‌روزرسانی: شرکت Palo Alto Networks هشدار داده است که عامل‌های تهدید (threat actors) به‌طور فعال در حال بهره‌برداری از آسیب‌پذیری‌های PHP2Shell علیه رابط‌های مدیریتی (management interfaces) این شرکت هستند که در معرض اینترنت قرار دارند.
این حملات که شامل آسیب‌پذیری CVE-2026-109619 با امتیاز CVSS 9.2 است، به مهاجمان اجازه می‌دهد بدون احراز هویت (unauthenticated) عملیات اجرای کد از راه دور (RCE) را انجام دهند. این آسیب‌پذیری مستقیماً رابط وب مدیریتی (HTTPS web UI) و سرویس XML API در سیستم‌های مبتنی بر PAN-OS را تحت تأثیر قرار می‌دهد.
توصیه‌های امنیتی برای کاهش ریسک عبارتند از:
- محدود کردن دسترسی به رابط مدیریتی تنها به آدرس‌های IP داخلی و مورد اعتماد (trusted internal IPs).
- استفاده از قابلیت Frontier Virtual Patching (ATP Plus) در نسخه‌های PAN-OS 12.2.4 و بالاتر (Threat ID 543004).
