گزارش‌های جدید نشان می‌دهد که مهاجمان روش‌های پیچیده‌تری را برای بهره‌برداری از آسیب‌پذیری‌های بحرانی در محیط‌های وب پیدا کرده‌اند. در این زنجیره حمله، یک نقص امنیتی در هسته لینوکس (Linux kernel) برای ارتقای سطح دسترسی (Privilege Escalation) با باگ‌های PHP2Shell ترکیب شده است تا دسترسی کامل به سیستم به دست آید.
تحلیل فنی زنجیره حمله
این حمله از دو مرحله اصلی تشکیل شده است. در مرحله اول، مهاجمان از آسیب‌پذیری‌های PHP2Shell (شامل CVE-2026-109618 و CVE-2026-109619) استفاده می‌کنند. این دو نقص که امتیاز بحرانی 9.2 در سیستم CVSS دارند، امکان اجرای کد از راه دور (RCE) را بدون نیاز به احراز هویت فراهم می‌کنند. با این حال، دسترسی به‌دست‌آمده در این مرحله معمولاً محدود به کاربر اجرای سرویس PHP است.
در مرحله دوم، مهاجمان از آسیب‌پذیری Fragnesia (شناخته شده با کد CVE-2026-46300) استفاده می‌کنند. این نقص که بخشی از کلاس آسیب‌پذیری‌های Dirty Frag در هسته لینوکس است، به مهاجم اجازه می‌دهد سطح دسترسی خود را از کاربر محدود وب به دسترسی Root ارتقا دهد. با کسب دسترسی Root، مهاجم کنترل کامل بر سرور، از جمله تغییر تنظیمات سیستم، حذف یا ویرایش فایل‌ها و غیرفعال کردن ابزارهای امنیتی را خواهد داشت.
تاثیرات عملیاتی و نفوذ به زیرساخت‌ها
تحقیقات نشان می‌دهد که این زنجیره حمله برای نفوذ به چندین سرور، از جمله دیواره‌های آتش (Firewall) شرکت Palo Alto Networks که از نسخه آسیب‌پذیر PAN-OS استفاده می‌کردند، به کار رفته است. مهاجمان پس از کسب دسترسی Root در لایه محیطی، اقدامات زیر را انجام داده‌اند:
- ایجاد تونل‌های SSH معکوس (Reverse SSH Tunnel) برای دسترسی به شبکه داخلی.
- سرقت اعتبارنامه‌های سرویس LDAP.
- استخراج لیست کاربران و گروه‌های اکتیو دایرکتوری (Active Directory).
- به دست آوردن نقشه کامل توپولوژی شبکه، کلیدهای خصوصی و شناسه‌های VPN.
نقش هوش مصنوعی در حملات
نکته قابل توجه در این عملیات، استفاده از ابزارهای کمک‌کننده هوش مصنوعی است. تحلیل‌ها نشان می‌دهد که عامل تهدید (Threat Actor) از ابزارهایی مانند Claude Code و پلتفرم‌های امنیتی تهاجمی مبتنی بر مدل‌های زبانی بزرگ (LLM) چینی مانند DeepSeek و Kimi برای تسریع فرآیند نفوذ استفاده کرده است.
راهکارهای مقابله و توصیه‌های امنیتی
به دلیل اینکه CVE-2026-46300 یک باگ سطح پایین در هسته لینوکس است، تنها راه حل قطعی، به‌روزرسانی هسته (Kernel Patch) به نسخه‌های اصلاح شده است. متخصصان امنیتی توصیه‌های زیر را برای مدیران SOC و مهندسان امنیت ارائه داده‌اند:
- توقف موقت ماژول‌ها: در سیستم‌های لینوکسی که با اینترنت در ارتباط هستند و از پروتکل IPsec ESP استفاده نمی‌کنند، ماژول‌های
esp4وesp6را غیرفعال کنید تا مسیر حمله بسته شود. - برداشت حافظه (Memory Capture): پیش از ری‌بوت کردن سیستم‌های مشکوک برای اعمال پچ، حتماً از حافظه RAM نسخه پشتیبان تهیه کنید؛ زیرا ری‌بوت کردن باعث پاک شدن شواهد حمله در حافظه می‌شود.
- مانیتورینگ LDAP: هرگونه درخواست Bind به سرویس LDAP را که از منابع غیرمجاز یا غیرمنتظره ارسال شده باشد، رصد و مسدود کنید.
به‌روزرسانی (اکتبر 30, 2026 — Malware News)
به‌روزرسانی: طبق گزارش‌های شناسایی (Reconnaissance) جدید از سوی CERT-AGID در تاریخ ۲۹ اکتبر ۲۰۲۶، تعداد آدرس‌های URL که به طور بالقوه در برابر آسیب‌پذیری PHP2Shell آسیب‌پذیر هستند، از ۶۵۰ مورد به ۳۸۲ مورد کاهش یافته است.
این آمار نشان می‌دهد که تنها ۱.۷٪ از آدرس‌های IP بررسی شده، نسخه‌های PHP آسیب‌پذیر را گزارش کرده‌اند. این روند نزولی نشان‌دهنده اثربخشی اقدامات اصلاحی و به‌روزرسانی (Patching) است؛ با این حال، برای اطمینان کامل، انجام بررسی‌های مستقیم روی سرورها الزامی است.
همچنین، ابزارهای تخصصی AgID جهت تسهیل فرآیند شناسایی و تأیید وضعیت امنیتی سرورها در دسترس قرار گرفته‌اند تا سازمان‌ها بتوانند با دقت بیشتری ریسک‌های موجود را مدیریت کنند.
به‌روزرسانی (اکتبر 30, 2026 — infosecurity-magazine.com)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که این عملیات توسط یک عامل تهدید (Threat Actor) وابسته به دولت چین انجام شده است. این مهاجمان با هدف قرار دادن ۲۵ سرور مدیریت و دیواره آتش (Firewall) شرکت Palo Alto Networks در ایالات متحده، ژاپن، تایوان و کره جنوبی، از زنجیره اکسپلویت PHP2Shell استفاده کرده‌اند. در این راستا، دو آسیب‌پذیری مشخص با شناسه‌های CVE-2026-109618 و CVE-2026-109619 به عنوان اجزای اصلی این حمله شناسایی شده‌اند.
این کمپین بسیار هدفمند و خودکار بوده و نشان‌دهنده سطح بالایی از آمادگی است؛ چرا که مهاجمان با تحلیل دقیق فریم‌ورهای PAN-OS، توانسته‌اند اکسپلویت خود را برای نسخه‌های خاصی از این سیستم‌عامل بهینه کنند. نفوذ به سرورهای وابسته به دولت ایالات متحده، امکان دسترسی پایدار به دامنه Active Directory را فراهم کرده که می‌تواند منجر به سرقت اعتبارنامه‌ها و گسترش نفوذ در زیرساخت‌های هویتی سازمان شود.
به‌روزرسانی (اکتبر 30, 2026 — SecurityWeek)
به‌روزرسانی: گزارش‌های جدید تأیید می‌کنند که عاملان تهدید (Threat Actors) با استفاده از زنجیره آسیب‌پذیری‌های CVE-2026-109618 و CVE-2026-109619، با موفقیت به فایروال‌های Palo Alto Networks (سیستم‌عامل PAN-OS) نفوذ کرده و دسترسی Root کسب کرده‌اند. این حملات با ترکیب نقص PHP2Shell و باگ ارتقای سطح دسترسی Fragnesia در هسته لینوکس انجام می‌شود.
شرکت Palo Alto Networks پچ‌های رسمی را برای نسخه‌های مختلف PAN-OS (شامل PA-Series، VM-Series و Panorama) منتشر کرده است. این شرکت هشدار داده که اگر رابط مدیریتی (Management Interface) دستگاه‌ها در معرض اینترنت باشد، در معرض خطر مستقیم قرار دارند و توصیه می‌کند دسترسی به آن بلافاصله محدود شود.
علاوه بر این، بیش از ۲۲.۶ میلیون نمونه PHP که در سرورها و سیستم‌های مدیریت محتوا (CMS) استفاده می‌شوند، در معرض خطر شناسایی شده‌اند. اگرچه تلاش‌های گسترده‌ای برای اکسپلویت کردن سایت‌های وردپرس (WordPress) صورت گرفته، اما به دلیل پیچیدگی‌های محیطی مانند ASLR و تنظیمات خاص PHP، نرخ موفقیت این حملات نسبت به تجهیزات شبکه بسیار کمتر بوده است.
