استغلال ثغرات PHP قبل الكشف العلني عنها

أبلغت Amazon Web Services (AWS) أن محاولات استغلال ثغرات حرجة في PHP، تُعرف باسم PHP2Shell، بدأت في 17 أكتوبر، أي قبل أربعة أيام فقط من الكشف العلني عن العيوب في 21 أكتوبر. ويبرز هذا النشاط المبكر مخاوف أمنية كبيرة إذ يجري الآن «استغلال واسع» للثغرات عبر الإنترنت.

دفعت الثغرات مسؤولي المواقع وفرق الأمن إلى التحرك العاجل لتحديث أنظمتهم. لكن المهاجمين عكسوا هندسة الإصلاحات بسرعة لاستغلال العيوب. حتى إن بعض المؤسسات أخرجت مواقع رئيسية من الخدمة تحسباً لإصدار التحديث لتجنب استهدافها.

رصد محللو AWS محاولات الاستغلال أثناء مراجعة النشاط على honeypots (خوادم مُعرَّضة للاختراق عمداً لدراسة أساليب الهجوم). وجاءت المحاولات من عنوان IP مرتبط بشبكة إخفاء هوية تجارية، ما يشير إلى أن المهاجمين استخدموا على الأرجح proxy أو VPN.

أشار CJ Moses، مسؤول أمن المعلومات الرئيسي في AWS، إلى أن استهداف الـ honeypot أثناء فرض حظر النشر على الثغرة يوحي بأن المهاجم كان لديه علم مسبق بالاستغلال. ولا تزال الطريقة الدقيقة التي حصل بها على معلومات الاستغلال غير واضحة.

بعد الكشف العلني، ظهرت على الإنترنت أدوات استغلال إثبات المفهوم لـ PHP2Shell، بعضها بحسب تقارير قبل الإعلان الرسمي بساعات فقط. ورصدت AWS محاولات استغلال متعددة على honeypots الخاصة بها، ما يشير إلى احتمال تورط جهات مختلفة في استغلال الثغرات.

شدّد Moses على الحاجة إلى نهج أسرع وأكثر تنسيقاً للكشف عن الثغرات، خصوصاً مع سهولة الوصول إلى أدوات الذكاء الاصطناعي التي يمكنها تسريع تحليل الثغرات. وأشار إلى أن الوقت بين إصدار التحديث وتطوير أدوات استغلال فعّالة آخذ في الانخفاض، ما يتيح لمزيد من المهاجمين التحرك بسرعة بعد الكشف عن الثغرات.

ومع تطور الوضع، لم ترد PHP Foundation بعد على طلبات التعليق بشأن الاستغلال المستمر لهذه الثغرات.

المصدر: WIRED