وكلاء ذكاء اصطناعي يخترقون جهة حكومية أوروبية عبر PHP في ساعتين

الملخص

• يونت 42 رصدت مهاجمين يستخدمون منصات هجوم بوكلاء ذكاء اصطناعي في ما بعد استغلال ثغرتي PHP2Shell ضد جهة حكومية أوروبية.
• خلال ساعتين من الاستغلال الأولي وصل المهاجمون إلى تجزئات كلمات المرور وأسرار المصادقة وأقاموا نفقاً إلى Active Directory.
• أكثر من 22.6 مليون نسخة PHP مكشوفة يُحتمل تعرضها للثغرتين، ما يقلّص نافذة الترقيع أمام كل منظمة تشغّلها.

خبر

وصل مهاجمون إلى تجزئات كلمات المرور وأسرار المصادقة متعددة العوامل في جهة حكومية أوروبية خلال ساعتين من استغلال ثغرتي PHP الحرجتين، ثم أقاموا نفق NTLM relay إلى Active Directory وحاولوا الوصول إلى صلاحيات مدير النطاق. ورصدت وحدة يونت 42 في بالو ألتو نتووركس في تحديث موجزها بتاريخ 23 أكتوبر مؤشرات قوية على أن منصات هجوم بوكلاء ذكاء اصطناعي نفّذت نشاط ما بعد الاستغلال. وتحصي الوحدة أكثر من 22.6 مليون نسخة مكشوفة.

تفصيل

• الثغرتان: تحمل الثغرتان الرقمَين CVE-2026-109618 وCVE-2026-109619 وتُعرفان باسم PHP2Shell، وتقييمهما 9.2 على مقياس CVSS 4.0. ويحيل موجز يونت 42 إلى تحذير مجموعة PHP لمعرفة الإصدارات المتأثرة والمُرقّعة من دون أن يذكرها بنفسه، ويقول إنه رأى كود إثبات مفهوم متداولاً.
• المهاجم الوكيلي: وصفت يونت 42 النشاط بأنه يحمل مؤشرات قوية على مهاجم وكيلي: دُفعات أوامر مغلّفة بفواصل عناوين أقسام مثل ==SHELLUSER== و==PASSWD== تنتج مخرجات قابلة للتحليل آلياً لنموذج ذكاء اصطناعي، ومهام قصيرة متسلسلة ومتباعدة زمنياً، وتحوّل سريع إلى مسار آخر بعد كل فشل.
• الساعتان: خلال ساعتين من الاستغلال الأولي في جهة حكومية أوروبية لم تُسمَّ، وصل المهاجمون إلى تجزئات كلمات المرور وأسرار المصادقة متعددة العوامل، وأقاموا في النافذة نفسها نفق NTLM relay إلى Active Directory، ثم حاولوا رفع الامتيازات إلى مستوى مدير النطاق. ولم يذكر الموجز طوابع زمنية أخرى.
• الأرقام: حدّدت منصة Cortex Xpanse التابعة لبالو ألتو أكثر من 22.6 مليون نسخة مكشوفة على الإنترنت يُحتمل أنها معرّضة للثغرتين معاً، استناداً إلى قياساتها وقت النشر. ولم يحدد الموجز تاريخ هذا العدّ ولا توزيعه الجغرافي أو القطاعي.
• التوقيت: يبدأ سجل تحديثات الموجز في 21 أكتوبر 2026، وتحمل حمايات الجدار الناري من الجيل التالي تواريخ 20 و21 أكتوبر، بينما تذكر بيانات الصفحة أن النشر في 23 أكتوبر. وجاء تحديث 23 أكتوبر عند الساعة 12:30 ظهراً بتوقيت المحيط الهادئ ليضيف نشاط ما بعد الاستغلال واستعلامات صيد التهديدات.
• الاحتياطات: أفادت يونت 42 بأن حكومة أوروبية واحدة على الأقل أوقفت موقعها على الإنترنت احتياطياً، وأضافت في التحديث استعلامات لصيد التهديدات المُدار تساعد الفرق الأمنية على البحث عن آثار الاستغلال ونمط الأوامر المغلّفة في بيئاتها.
• ما لم يُكشف: لم تُسمِّ يونت 42 الجهة الحكومية المستهدفة ولا المنصة الوكيلة المستخدمة في الهجوم ولا الجهة التي تقف خلف المهاجمين، ولم تحدد ما إذا كانت محاولة رفع الامتيازات إلى مدير النطاق قد نجحت أو ما حجم البيانات التي خرجت من الشبكة.

ماذا بعد؟

يُنتظر تحديث تالٍ من يونت 42 لموجز التهديد، وتحذير مجموعة PHP هو المرجع لأرقام الإصدارات المُرقّعة، فيما يبقى عدد النسخ المكشوفة البالغ 22.6 مليون مؤشراً يُتابع تراجعه مع انتشار الترقيع.

المصدر: يونت 42 (بالو ألتو نتووركس)