هکرهای چینی اکسپلویت PHP2SHELL می سازند، از آن برای روت کردن 25 سرور استفاده می کنند، فایروال های وابسته به دولت ایالات متحده را نقض می کنند.

محققان اولین مورد تایید شده PHP2Shell را گزارش کردند که سازمان‌های مرتبط با دولت ایالات متحده را هدف قرار می‌دهد.

مهاجمان PHP2Shell را با نقصی در افزایش امتیازات لینوکس به زنجیر زدند تا به دسترسی ریشه و پایداری دست یابند.

نقض‌ها از به خطر افتادن اولیه تا حملات اکتیو دایرکتوری در عرض چند دقیقه پیشرفت کردند و بر فوریت وصله‌سازی تأکید کردند. ما اکنون تاییدیه اولین اکسپلویت موفقیت آمیز آسیب پذیری بدنام PHP2Shell را داریم که در اوایل این ماه کشف شد.

این خبر از سوی سازمان امنیت سایبری Dream منتشر شده است که ادعا می کند مهاجمان را دیده اند که به سازمان های وابسته به دولت ایالات متحده نفوذ کرده اند.

PHP2Shell نامی است که به دو آسیب پذیری با شدت بحرانی موجود در PHP داده شده است. هنگامی که آنها برای اولین بار افشا شدند، بیشتر جامعه امنیت سایبری به حالت وحشت کامل رفتند، با توجه به اینکه PHP تقریبا 70٪ از تمام وب سایت ها و برنامه های وب را در اینترنت قدرت می دهد و در آن زمان هیچ وصله ای وجود نداشت. ظاهرا این نقص‌ها امکان تصرف کامل وب‌سایت‌ها را فراهم کرد و برخی از سازمان‌های دولتی و آموزشی در اروپا حتی به‌دلیل تلاش‌های بهره‌برداری انبوه، وب‌سایت‌های خود را پیشگیرانه تعطیل کردند.

اما پس از نشستن گرد و غبار، اتفاق عجیبی رخ داد - هیچ حمله موفقیت آمیزی وجود نداشت. محققان تلاش‌ها و کاوش‌هایی را مشاهده می‌کردند، اما هیچ نقض موفقیت‌آمیزی نداشتند. آمازون گفت که اولین حملات را چهار روز قبل از وصله مشاهده کرده است، و Cloudflare بعدا هزاران تلاش را در 10 ساعت قبل از اعلام وصله ردیابی کرد. این در عرض یک ساعت پس از افشا به ده ها هزار نفر و در عرض دو ساعت به صدها هزار افزایش یافت. اکنون به میلیون ها نفر رسیده است.

برخی می‌گویند بهره‌برداری از باگ‌ها آسان‌تر از انجام آن است، و عوامل تهدید به موانع مختلفی برخورد می‌کنند، از جمله Address Space Layout Randomization، یک ویژگی امنیتی که به‌طور تصادفی جایی که کد و داده‌های برنامه در حافظه هر بار اجرا می‌شود، تغییر می‌کند. با این حال، آنها هشدار دادند که همه اینها ممکن است موقتی باشد، و یک موفقیت موفقیت آمیز یک سوال "چه زمانی" است، نه "اگر".

هدف قرار دادن فایروال ها

اکنون به نظر می‌رسد که ادعاها درست بوده است، زیرا دریم می‌گوید بازیگران تهدید چینی با موفقیت PHP2Shell را با نقصی در افزایش امتیاز هسته لینوکس در برابر فایروال‌های Palo Alto Networks زنجیر کردند و 25 سرور را که برخی از آنها ظاهرا متعلق به سازمان‌های وابسته به دولت ایالات متحده بودند، نقض کردند.

این حملات در 23 اکتبر 2026 شروع شد و شرکت‌هایی را در ایالات متحده، ژاپن، تایوان و کره جنوبی بررسی کرد و به زودی بر روی دستگاه‌های مبتنی بر PAN-OS شبکه Palo Alto متمرکز شد که نسخه قدیمی‌تر و آسیب‌پذیر سیستم‌عامل را اجرا می‌کرد.

طبق گفته Dream، کلاهبرداران PHP2Shell را با Fragnesia زنجیر کردند، یک نقص افزایش امتیاز محلی که به کاربران غیرمجاز اجازه می‌دهد دسترسی ریشه داشته باشند. در اواسط ماه مه امسال فاش شد و با نام CVE-2026-46300 ردیابی شد.

دریم اضافه کرد، پس از نفوذ به دستگاه‌ها، مهاجمان حدود 40 اسکریپت سفارشی پس از بهره‌برداری را اجرا کردند.

در عرض چند ساعت پس از به خطر انداختن فایروال وابسته به دولت ایالات متحده، آنها به شبکه داخلی تونل زدند، سرور سومی را با استفاده از همان اکسپلویت PHP2Shell به خطر انداختند و یک کمپین حمله کامل Active Directory راه اندازی کردند - همه از طریق زنجیره ای که با یک درخواست HTTPS احراز هویت نشده شروع شد به یک رابط مدیریتی که هرگز نباید اینترنت را گزارش می کرد.

خودکار نیست

بدتر از همه، محققان بر این باورند که مهاجمان هنوز بدون کاهش دسترسی دارند.

دریم گفت: "کل زنجیره - از اتصال HTTPS تایید نشده تا پوسته ریشه دائمی - در کمتر از 15 دقیقه تکمیل می شود." محققان نتوانستند بگویند پایان بازی در اینجا چیست زیرا این اطلاعات در آثاری که آنها بازیابی کردند یافت نشد. علاوه بر موارد بدیهی، که به نظر می رسد دسترسی مداوم و سرقت مدارک است، عوامل تهدید می توانند هر کاری انجام دهند، از حذف درهای پشتی گرفته تا استخراج اطلاعات حساس.

در زمینه "اکتبر سیاه" و این واقعیت که ما شاهد افزایش قابل توجه حملات خودکار هستیم، همچنین لازم به ذکر است که این حادثه احتمالا مبتنی بر هوش مصنوعی نبوده است.

Dream شواهدی از استفاده از هوش مصنوعی پیدا کرد اما معتقد است که کاملا خودکار نبوده است. Claude Code و همچنین یک پلتفرم امنیتی تهاجمی به نام AIscan که با مدل‌های هوش مصنوعی چینی DeepSeek و Kimi پیکربندی شده بود، نصب شد. علاوه بر این، آنها کلیدهای API را برای FOFA، همتای چینی موتور جستجوی Shodan، پیدا کردند.

با کمک FOFA، مهاجمان ظاهرا حدود 19000 فایروال شبکه Palo Alto متصل به اینترنت را شناسایی کردند که از آنها به عنوان نقطه شروع برای حملات خود استفاده می کردند.

از طریق ثبت نام