حذرت شركة بالو ألتو نتووركس يوم الأربعاء من أن جهات تهديد تستغل ثغرات PHP2Shell التي جرى إصلاحها أخيرا ضد واجهات الإدارة المتاحة للعموم عبر الإنترنت. وقالت الشركة في تحديث لنشرتها الأمنية إنها رصدت استغلالا فعليا يستهدف واجهة إدارة بالو ألتو نتووركس المكشوفة للإنترنت.
وتحمل الثغرتان الرقمين CVE-2026-109618 وCVE-2026-109619، وبلغت درجة خطورة كل منهما 9.2 وفق مقياس CVSS. وتتيحان للمهاجمين تنفيذ تعليمات برمجية عن بعد دون مصادقة على الأنظمة العاملة بإصدارات متأثرة من لغة PHP. وكانت مؤسسة PHP قد أصدرت الإصلاحات في 21 أكتوبر 2026 ضمن الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35.
هجمات سلسلية ضد خوادم في أربع دول
جاء هذا التطور بعد أيام من إعلان شركة الأمن السيبراني الإسرائيلية دريم أنها رصدت جهة تهديد يشتبه في ارتباطها بالصين تستغل الثغرتين بالتزامن مع ثغرة لرفع الصلاحيات المحلية في نواة لينكس تحمل اسم فراغنيسيا (CVE-2026-46300، بدرجة 7.8)، وتمكنت بذلك من السيطرة بصلاحيات الجذر على 25 خادما في الولايات المتحدة واليابان وتايوان وكوريا الجنوبية. وكان بين هذه الأنظمة ثلاثة تابعة لبيئة مرتبطة بجهة حكومية أمريكية.
وأوضحت دريم أن الأجهزة المتأثرة تعمل بإصدارات محددة من برمجيات جدار حماية لمورّد كبير، ثم شن المهاجم هجمات على خدمة الدليل النشط أكتيف دايركتوري، وأكدت الأدلة المستخرجة سحب بيانات الاعتماد وتعداد محتويات الدليل. ولم تكشف الشركة اسم المورّد، لكن توقيت النشرة الأمنية، إضافة إلى عدم إبلاغ شركات أمن الشبكات الأخرى عن استغلال خبيث لمنتجاتها، يشير إلى احتمال وجود صلة بين الحدثين. وقد تواصل موقع ذا هاكر نيوز مع دريم وبالو ألتو للحصول على تعليق.
ودفع ذلك وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) إلى إضافة الثغرة CVE-2026-46300 إلى كتالوج الثغرات المستغلة المعروفة، مع إلزام الجهات الفيدرالية بتطبيق الإصلاحات بحلول 31 أكتوبر 2026. وقالت الوكالة إن الثغرة يمكن ربطها بالثغرتين الأخريين لزرع واجهات ويب خبيثة وتنفيذ أوامر بصلاحيات الجذر.
من المعرّض للخطر في نظام PAN-OS؟
أكدت بالو ألتو أن الإصابة لا تتطلب أي إعدادات خاصة، وأن الخطر يبلغ ذروته في PAN-OS حين يُسمح بالوصول إلى واجهة الإدارة من عناوين إنترنت خارجية. وتقتصر المشكلة على واجهة الإدارة عبر الويب، التي تشمل واجهة HTTPS الرسومية وخدمة XML API، ولا تمس واجهة مستوى البيانات إلا إذا أُرفق بها ملف إدارة.
وتشمل الإصدارات المتأثرة فروع PAN-OS 12.2 و12.1 و11.2 و11.1 و10.2، ولكل فرع إصدارات مصححة محددة. ففي الفرع 12.2 يكون الإصلاح في الإصدار 12.2.4-h1 وما بعده. وفي الفرع 12.1 تتوفر الإصلاحات في 12.1.4-h13 (متوقع في 29 أكتوبر) و12.1.7-h11 و12.1.10-h3 (متوقع في 30 أكتوبر). وفي الفرع 11.2 تبدأ الإصلاحات من 11.2.4-h23 (متوقع في 30 أكتوبر) و11.2.7-h23 و11.2.10-h16 و11.2.13-h4 و11.2.16-h1. وفي الفرع 11.1 تبدأ من 11.1.4-h38 و11.1.6-h40 و11.1.7-h12 (متوقع في 30 أكتوبر) و11.1.10-h36 و11.1.13-h16 و11.1.16-h4. أما في الفرع 10.2 فتبدأ من 10.2.7-h39 (متوقع في 30 أكتوبر) و10.2.10-h42 (متوقع في 29 أكتوبر) و10.2.13-h27 و10.2.16-h12 و10.2.18-h13.
إجراءات التخفيف للإصدارات التي لم يصدر إصلاحها
أوصت الشركة، في الإصدارات التي لم تتوفر لها الإصلاحات بعد، بتمرير حركة المرور الواردة لمنفذ الإدارة عبر منفذ مستوى البيانات، مثل تفعيل ملف الإدارة على واجهة من هذا المستوى، وباستبدال الشهادة المستخدمة لحركة الإدارة الواردة. كما أوصت بفك تشفير حركة المرور الواردة إلى واجهة الإدارة كي يتمكن جدار الحماية من فحصها، وبتفعيل منع التهديدات على الحركة الواردة إلى خدمات الإدارة.
وذكرت الشركة أن عملاء خاصية الترقيع الافتراضي الاستباقي (ATP Plus) على الإصدار 12.2.4 وما بعده حصلوا على تغطية مبكرة عبر معرّف التهديد 543004، الذي أُطلق في العاشرة وإحدى وعشرين دقيقة مساء بتوقيت المحيط الهادئ في 20 أكتوبر. وأضافت أن خطر المشكلة على PAN-OS وPanorama يتضاءل عند حصر الوصول إلى واجهة الإدارة في عناوين داخلية موثوقة، وفق أفضل الممارسات الموصى بها.
موقف الشركة وتوصياتها للعملاء
أكد متحدث باسم بالو ألتو نتووركس علمها بتقرير دريم الذي يصف نشاطا غير مصرح به يستهدف واجهات إدارة PAN-OS المتصلة بالإنترنت. وقال إن العملاء الذين طبقوا التصحيحات المتاحة غير متأثرين، وكذلك من اتبعوا التوصية المعيارية بعدم كشف واجهة الإدارة على الإنترنت العام.
وحدثت الشركة نشرتها التهديدية لتوصي العملاء بإزالة الوصول العام إلى واجهات الإدارة فورا إن كان مفعلا، وحصر الوصول في عناوين داخلية موثوقة، وتطبيق إصلاحات PAN-OS المتاحة لمعالجة PHP2Shell. وبحسب بيانات منتج إدارة سطح الهجوم إكسبانس، فإن نسبة ضئيلة جدا لا تتجاوز 0.01 في المئة من قاعدة العملاء العالمية لديها واجهات إدارة مكشوفة للإنترنت، وقد جرى التواصل مع كل عميل محتمل التأثر بصورة فردية، مع تعهد الشركة بمواصلة التحقيق وتقديم أي تحديثات لازمة.
