كشفت شركة Palo Alto Networks أنها ما زالت ترصد استغلالاً من جانب جهات فدية لثغرة أمنية تأثرت بها منتجات PAN-OS وPrisma Access، رغم أنها صُححت منذ أشهر. وتتعلق الثغرة بالمعرّف CVE-2026-0257 وبدرجة خطورة 7.8 وفق مقياس CVSS، وهي ثغرة تجاوز مصادقة تتيح للمهاجمين إنشاء اتصالات VPN غير مصرح بها. وكانت الشركة قد أصدرت التصحيح في مايو 2026، وأضافتها وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA إلى كتالوج الثغرات المستغلة المعروفة في الثالث عشر من الشهر نفسه. وقال باحثو Unit 42 في تحديث نُشر يوم الاثنين إن من بين المشغّلين الذين يستغلونها مجموعتي Spikey Scorpius المعروفة باسم Qilin، وTarnished Scorpius المعروفة باسم INC. وجاء ذلك بعد أيام من إعلان ReliaQuest أنها رصدت مجموعتي Qilin وSettra تستغلان الثغرة في هجمات بدافع مالي.
كيف تجري الهجمات؟
بحسب Unit 42، يستغل المهاجمون الثغرة للحصول على موطئ قدم أولي داخل شبكات الشركات، ثم يتجاوزون ضوابط المصادقة متعددة العوامل لإقامة جلسة VPN. وبعد إقامة الجلسة، يجرون استطلاعاً داخل الشبكة باستخدام أدوات المراقبة والإدارة عن بُعد ذات الاستخدام المزدوج، وينتقلون أفقياً عبر بروتوكولي RDP وSMB، ويجهزون أدوات إضافية لسرقة بيانات الاعتماد وتسريب البيانات ونشر برنامج الفدية. وطالت هجمات هاتين المجموعتين قطاعات واسعة، منها التعليم والخدمات المالية والرعاية الصحية والتقنية العالية والضيافة والتصنيع والخدمات المهنية والقانونية والحكومة والنقل والخدمات اللوجستية والمرافق والطاقة وتجارة التجزئة.
التحول نحو طبقة المحاكاة الافتراضية
وصفت Unit 42 التطور الأبرز في أساليب المهاجمين وتقنياتهم وإجراءاتهم بأنه الانتقال المباشر إلى طبقة المحاكاة الافتراضية بعد نجاح الاستغلال. ففي إحدى الحالات البارزة انتقل المهاجمون من بوابة VPN المخترقة إلى جهاز إدارة vCenter، ومنه عطّلوا ضوابط الأمان على مضيفات ESXi عبر الإعداد execInstalledOnly، واستخدموا أداة مخصصة لاستخراج بيانات الاعتماد دون اتصال مباشرة من القرص الافتراضي VMDK لوحدة تحكم النطاق. ويتجاوز هذا الأسلوب أنظمة الكشف والاستجابة على نقاط النهاية EDR والحمايات الداخلية في النظام الضيف، ما يتيح للمهاجمين الحصول على بيانات اعتماد تشمل النطاق بأكمله.
كما رُصد ربط أسلوب الوصول الأولي بأدوات استغلال أخرى، منها استهداف بنية Veeam للنسخ الاحتياطي عبر استغلال ثغرات معروفة، ومنها CVE-2023-27532، بهدف إحداث أقصى ضرر ممكن. وكانت Arctic Wolf قد رصدت في يوليو 2026 استغلال Qilin للثغرة نفسها، في هجمات تراوحت بين عمليات تشفير سريعة فقط وعمليات ابتزاز مزدوج كاملة.
توصيات الشركة
إلى جانب تطبيق أحدث التصحيحات، توصي Palo Alto Networks المؤسسات بالبحث الاستباقي عن مؤشرات الاختراق، وبإطلاق إجراءات الاستجابة للحوادث المناسبة إذا رُصدت أحداث اتصال ناجحة عبر البوابة.
