گروه باج‌افزاری Clop پس از تایید نفوذ و تغییر چهره (Defacement) سرور خود، سایت افشای داده‌های این گروه را به یک آدرس جدید در شبکه Tor منتقل کرد. بر اساس گزارش‌های فنی، این نفوذ از طریق یک آسیب‌پذیری اصلاح‌نشده در سیستم مدیریت محتوای Grav CMS صورت گرفته است.
جزئیات حمله و تقابل دو عامل تهدید
گروه اخاذی ShinyHunters در ابتدای ماه جاری با بهره‌برداری از یک نقص امنیتی از نوع Path Traversal، به سایت Clop نفوذ کرد. این مهاجمان ابتدا یک فایل متنی کوچک آپلود کرده و سپس کل صفحه اصلی سایت را با لوگوی خود جایگزین کردند. ShinyHunters مدعی شد که موفق به سرقت سورس‌کد، پلاگین‌های Grav CMS، لاگ‌های سرور و کلیدهای خصوصی (Private Keys) مربوط به سرویس Onion این گروه شده است و برای عدم افشای این اطلاعات، درخواست باج کرد.
در مقابل، گروه Clop هرگونه ارتباط یا مذاکره با ShinyHunters را تکذیب کرده و مدعی است که سرور مورد حمله تنها حاوی محتوا بوده و هیچ داده عملیاتی یا مالی حساسی در آن ذخیره نشده است. با این حال، این گروه تایید کرد که نسخه Grav CMS نصب شده روی سرور آن‌ها به‌روز نبود.
تحلیل فنی آسیب‌پذیری
تیم توسعه Grav CMS تایید کرد که جزئیات ارائه شده توسط ShinyHunters دقیق است. این آسیب‌پذیری که با شناسه CVE-2026-42608 ردیابی می‌شود، یک نقص Unauthenticated Path Traversal است که در هسته (Core) این سیستم مدیریت محتوا وجود داشت.
- مکانیسم حمله: مهاجمان از پارامتر
__unique_form_id__در درخواست‌های POST استفاده می‌کردند. به دلیل عدم اعتبارسنجی صحیح مسیرهای فایل‌سیستم، با ارسال توالی‌هایی مانند../../../shhq، امکان ایجاد مسیرهای آپلود خارج از دایرکتوری پیش‌فرضtmp/formsفراهم می‌شد. - نتیجه: این نقص به مهاجم اجازه می‌داد تا فایل‌های دلخواه خود را در هر نقطه از مسیر نصب Grav CMS بنویسد و در نهایت منجر به اجرای کد یا تغییر محتوای سایت شود.
وضعیت اصلاحیه و توصیه‌ها
این آسیب‌پذیری پیش‌تر در نسخه Grav 2.0 اصلاح شده بود، اما به دلیل عدم انتقال اصلاحیه (Backport) به شاخه نسخه 1.7، سایت‌هایی که از نسخه‌های قدیمی‌تر (مانند نسخه 1.7.43 مورد استفاده در Clop) استفاده می‌کردند، آسیب‌پذیر باقی مانده بودند.
در پی انتشار جزئیات این حمله، توسعه‌دهندگان Grav اصلاحیه مربوطه را برای شاخه 1.7 منتشر کرده و نسخه 1.7.53.4 را عرضه کردند. به تمامی مدیران سیستم‌هایی که از سری 1.7 استفاده می‌کنند، توصیه می‌شود فوراً به آخرین نسخه به‌روزرسانی کنند.
