مهاجمان با ترکیب آسیب‌پذیری‌های بحرانی PHP2Shell و نقص امنیتی هسته لینوکس موسوم به Fragnesia، موفق شده‌اند به دسترسی سطح بالا (Root) در سیستم‌های PAN-OS شرکت Palo Alto Networks دست یابند. این کمپین مهاجمتی، پیش از رسیدن به سرور مدیریت داخلی، موفق به نفوذ به ۲۴ فایروال متصل به اینترنت شده است.
جزئیات فنی آسیب‌پذیری‌ها
آسیب‌پذیری PHP2Shell شامل دو مورد CVE-2026-109618 و CVE-2026-109619 است که هر دو دارای امتیاز CVSS 4.0 معادل ۹.۲ هستند. این نقص‌ها مربوط به مدیریت آپلود نشست‌ها (Session-upload handling) در PHP و فرآیند پاکسازی حافظه در شرایط کمبود حافظه (Out-of-memory) است که می‌تواند منجر به اجرای کد از راه دور (RCE) در پیکربندی‌های آسیب‌پذیر شود.
در این حمله، مهاجم با سوءاستفاده از مکانیزم session.upload_progress در PHP، درخواست‌های دستکاری‌شده‌ای را ارسال می‌کند که باعث مدیریت غیرمجاز تخصیص حافظه (Heap allocation) می‌شود. این فرآیند به مهاجم اجازه می‌دهد تا آدرس‌های حافظه مورد نیاز برای دور زدن مکانیزم ASLR را استخراج کرده و ساختارهای داخلی را برای هدایت اجرا به تابع system() در PHP جعل کند.
ارتقاء سطح دسترسی و زنجیره حمله
در سیستم‌های PAN-OS، مهاجمان از یک پیاده‌سازی سفارشی و غیرعمومی برای هدف قرار دادن سرور مدیریت appweb استفاده کرده‌اند. پس از اجرای اولیه در محیط محدود وب‌سرور، مهاجم با بهره‌برداری از آسیب‌پذیری Fragnesia (شناسه CVE-2026-46300)، موفق به ارتقاء سطح دسترسی خود به Root شده است. این زنجیره حمله به دلیل استفاده از نسخه‌های یکسان PHP 8.0.30 در محیط‌های هدف، بسیار قابل اعتماد و پایدار عمل کرده است.
ابعاد نفوذ و فعالیت‌های شناسایی شده
- تعداد سیستم‌های آلوده: در مجموع ۲۵ سیستم، شامل ۲۴ فایروال محیطی و یک سرور مدیریت داخلی.
- روش ماندگاری: ایجاد تونل‌های SSH معکوس (Reverse SSH Tunnel) برای حفظ دسترسی مداوم.
- هدف‌گیری: استفاده از ابزارهای جستجوی زیرساخت مانند FOFA برای شناسایی دستگاه‌های هدف و محدود کردن دامنه حملات به ۲۴۰ هدف منتخب.
- پیامدها: افشای پیکربندی‌های مدیریتی و اعتبارنامه‌های سرویس‌های دایرکتوری (Directory-service credentials).
توصیه‌های امنیتی و مقابله
سازمان‌ها باید فوراً اقدامات زیر را در دستور کار قرار دهند:
- وصله امنیتی (Patching): اولویت‌بندی به‌روزرسانی PAN-OS بر اساس توصیه‌های سازنده.
- به‌روزرسانی PHP: انتقال به نسخه‌های امن PHP شامل 8.2.35، 8.3.36، 8.4.27 یا 8.5.12.
- اقدام موقت: در صورت عدم امکان وصله فوری، قابلیت
session.upload_progress.enabledرا غیرفعال کنید. - پایش (Monitoring): بررسی آپلودهای Multipart غیرعادی، کوکی‌های بسیار بزرگ
PHPSESSID، اجرای Shell توسط فرآیندهای وب‌سرور و اتصالات خروجی (Outbound) مشکوک.
