Palo Alto Networks-ը զգուշացնում է կառավարման միջերեսների վրա PHP2Shell հարձակումների մասին

Palo Alto Networks-ը հոկտեմբերի 28-ին զգուշացրել է, որ հարձակվողներն ակտիվորեն օգտագործում են PHP2Shell-ը՝ ինտերնետից հասանելի իր կառավարման միջերեսների դեմ։ ԱՄՆ կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (CISA) նույնպես Fragnesia-ն՝ PHP2Shell-ի հետ օգտագործվող Linux-ի խոցելիությունը, ներառել է ակտիվորեն շահագործվող խոցելիությունների ցանկում։ Գործակալության խոսքով՝ դրանց համադրումը կարող է հարձակվողներին հնարավորություն տալ լիովին վերահսկելու խոցելի համակարգերը։

Նախազգուշացմանը նախորդել էին PHP հիմնադրամի՝ հոկտեմբերի 21-ին թողարկած ուղղումները PHP-ի հիմքում ընկած խոցելիությունների համար։ Palo Alto Networks-ն իր անվտանգության ծանուցումն առաջին անգամ հրապարակել էր նույն օրը․ PAN-OS-ի որոշ սպասարկման ճյուղերի ուղղումները հոկտեմբերի 29-ի ժամանակացույցում դեռ սպասվում էին։

CISA-ն առանձնացրել է խոցելիությունը, որը կարող է հասանելիությունը վերածել լիակատար վերահսկողության

CISA-ն հոկտեմբերի 28-ին Fragnesia-ն՝ CVE-2026-46300-ը, ավելացրել է հայտնի շահագործվող խոցելիությունների իր ցանկում և դաշնային գերատեսչություններին կարգադրել է տեղադրել ուղղումը։ Այդ մասին հոկտեմբերի 29-ին մանրամասներ է հրապարակել BleepingComputer-ը։ Դաշնային գերատեսչությունների համար ուղղումը տեղադրելու հստակ վերջնաժամկետը մնում է անհայտ։

Fragnesia-ն առկա է Linux-ի միջուկում՝ օպերացիոն համակարգի հիմքում։ Այն իրավունքների ընդլայնման խոցելիություն է․ արդեն սահմանափակ հասանելիություն ունեցող հարձակվողը կարող է դրա միջոցով ստանալ արմատային իրավունքներ՝ համակարգի հասանելիության ամենաբարձր մակարդակը։ Այդպիսով այն առանձին խնդիր է PHP-ի խոցելիություններից, որոնցով սկզբնական մուտք է ապահովվում համակարգ։

Fragnesia-ն բարձր վտանգավորության խոցելիություն է։ BleepingComputer-ը հոկտեմբերի 29-ին հայտնել է, որ դրա շահագործման հնարավորությունը ցուցադրող ծրագիրը թույլ է տալիս տեղային հարձակվողներին արմատային իրավունքներ ստանալ Linux-ի հիմնական դիստրիբյուտիվներում, որոնք օգտագործում են մինչև 2026 թվականի մայիսի 13-ը թողարկված միջուկներ։

CISA-ի խոսքով՝ հարձակվողները կարող են Fragnesia-ն համադրել PHP2Shell-ի երկու խոցելիությունների հետ՝ PHP վեբ շելեր տեղադրելու և արմատային իրավունքներով հրամաններ գործարկելու համար։ Վեբ շելերը սկրիպտներ են, որոնք հարձակվողին թույլ են տալիս հրամաններ ուղարկել կոտրված սերվերին։ Գործակալությունը Fragnesia-ի միջոցով իրականացված հարձակումների մասին այլ մանրամասներ չի հայտնել։ Նրա նախազգուշացումը նշանակում է, որ բացի PHP-ի միջոցով մուտքի ուղիներից, պետք է շտկել նաև միջուկի խոցելիությունը։

Որ ծառայություններն են խոցելի

PHP2Shell-ը ներառում է CVE-2026-109618 և CVE-2026-109619 կրիտիկական խոցելիությունները, որոնցից յուրաքանչյուրը խոցելիությունների գնահատման ընդհանուր համակարգի 10 բալանոց սանդղակով ստացել է 9,2 միավոր։ Դրանք թույլ են տալիս առանց նույնականացման հեռակա կոդ գործարկել․ հարձակվողը կարող է ցանցի միջոցով իր ընտրած կոդը գործարկել՝ առանց մուտք գործելու։

Palo Alto Networks-ի խոսքով՝ խոցելի է կառավարման վեբ միջերեսը, ներառյալ դիտարկչում օգտագործվող HTTPS միջերեսը և ծրագրային կառավարման համար նախատեսված XML կիրառական ծրագրավորման միջերեսը։ Տվյալների հարթակի միջերեսը՝ ցանցային տրաֆիկի փոխանցման պորտը, խոցելի է միայն այն դեպքում, երբ դրան կցված է կառավարման պրոֆիլ։ Խոցելի լինելու համար հատուկ կազմաձևում չի պահանջվում, սակայն ընկերության խոսքով՝ ռիսկն ամենաբարձրն է, երբ կառավարման միջերեսը հասանելի է արտաքին ինտերնետային հասցեներից։

Թողարկված և դեռ սպասվող ուղղումները

Ընկերության ուղղումների ժամանակացույցը, որը հոկտեմբերի 29-ին մանրամասնել է The Hacker News-ը, տարբերակում է թողարկված շտապ ուղղումներն այն վեց հավաքածուներից, որոնց թողարկման ժամկետները դեռ կանխատեսումներ են։ Ադմինիստրատորները պետք է իրենց սպասարկման ճյուղին համապատասխան ուղղված հավաքածուն ընտրեն․ այդ ճյուղի ավելի վաղ հավաքածուները խոցելի են։

Dream-ը նկարագրել է հարձակման շղթան, բայց չի հայտնել արտադրողին

Կիբերանվտանգության Dream ընկերությունը հոկտեմբերի 27-ին հրապարակած հետազոտության մեջ հայտնել է, որ իր մասնագետները հոկտեմբերի 25-ին հայտնաբերել են արշավի հետքեր, որոնք վկայում են ԱՄՆ-ում, Ճապոնիայում, Թայվանում և Հարավային Կորեայում 25 սերվերի կոտրման մասին։ Dream-ը չի հայտնել միջցանցային էկրանի արտադրողին և ծրագրաշարի խոցելի տարբերակները․ բացահայտումները չեն հաստատում, որ կոտրված սարքերը Palo Alto Networks-ի արտադրանք էին։ Ընկերությունը թիրախների, գործիքների, ենթակառուցվածքի ժամային նշումների և չինարեն հարցումների հիման վրա կասկածել է Չինաստանի հետ կապ, սակայն կոնկրետ հարձակվողի չի անվանել։

Dream-ի խոսքով՝ PHP2Shell-ը նախ ապահովել է մուտք սահմանափակ իրավունքներով հաշվի միջոցով, իսկ Fragnesia-ն թույլ է տվել հարձակվողին ստանալ արմատային իրավունքներ։ Կոտրված սերվերներից երեքն ԱՄՆ կառավարության հետ կապված միջավայրում էին։ Հարձակվողը կոտրված արտաքին միջցանցային էկրաններով թունել է ստեղծել դեպի ներքին ցանց, այն կազմաձևել է վերագործարկումներից հետո կրկին միանալու համար և հասել ներքին միջցանցային էկրանների կառավարման սերվերին։ Այդ սերվերի հասանելիությունը բացահայտել է կառավարվող միջցանցային էկրանների կազմաձևումները, մուտքի տվյալներն ու ցանցային կարգավորումները։

Կառավարման սերվերից հարձակվողը դուրս է բերել ծառայողական հաշվի գաղտնաբառը, որն օգտագործվում էր Active Directory-ին՝ կազմակերպության օգտատերերի և խմբերի գրառումները պահող համակարգին միանալու համար, և ստացել այդ օգտատերերի ու խմբերի ցանկը։ Dream-ը չի կարողացել պարզել՝ հաջողվել են արդյոք հետագայում գաղտնաբառեր գուշակելու, գաղտնի մուտքի հաշիվներ ստեղծելու կամ մուտքի հաստատումները ստորագրելու բանալիներ դուրս բերելու փորձերը։ Ուստի ներխուժման ամբողջ ծավալը մնացել է անհայտ։

Ինչ կարող են անել ադմինիստրատորները՝ ուղղումներին սպասելիս

Palo Alto Networks-ի խոսքով՝ կառավարման հասանելիությունը վստահելի ներքին IP հասցեներով սահմանափակելը նվազագույնի է հասցնում PAN-OS-ի և Panorama-ի ռիսկը։ PAN-OS-ի այն տարբերակների համար, որոնց ուղղումը դեռ հասանելի չէ, ընկերությունը խորհուրդ է տալիս միջցանցային էկրանը կազմաձևել այնպես, որ այն ստուգի կառավարման մուտքային տրաֆիկը՝ հետևյալ քայլերով․

1. Կառավարման պորտի մուտքային տրաֆիկն ուղղորդել տվյալների հարթակի պորտով՝ կառավարման հասանելիության համար օգտագործելով կառավարման պրոֆիլ։
2. Փոխարինել կառավարման մուտքային տրաֆիկի համար օգտագործվող հավաստագիրը։
3. Վերծանել կառավարման մուտքային տրաֆիկը, որպեսզի միջցանցային էկրանը կարողանա ստուգել այն։
4. Միացնել այդ տրաֆիկի սպառնալիքների կանխարգելումը։

Ընկերության խոսքով՝ հարձակման ճանաչման նշաններով պաշտպանվելու համար անհրաժեշտ է Threat Prevention-ի բաժանորդագրություն և ծանուցման մեջ նշված սպառնալիքների նույնացուցիչների ակտիվացում․ դրանք տրամադրվում են Applications and Threats-ի բովանդակության 9162, 9163, 9164 և ավելի ուշ տարբերակներով։ Այդ նշանները հայտնաբերում են հարձակման տրաֆիկը, իսկ կառավարման տրաֆիկի ուղղորդումն ու վերծանումը միջցանցային էկրանին թույլ են տալիս ստուգել այն։

Palo Alto Networks-ի խոսքով՝ PAN-OS 12.2.4 և ավելի ուշ տարբերակներում Frontier Virtual Patching (ATP Plus) օգտագործող հաճախորդները նախնական պաշտպանություն են ստացել հոկտեմբերի 20-ին՝ Խաղաղօվկիանոսյան ժամանակով 22:21-ին, սպառնալիքի 543004 նույնացուցիչի միջոցով։

Շտապ ուղղման սպասող ադմինիստրատորները կարող են թողարկման կարգավիճակի փոփոխությունները ստուգել Palo Alto Networks-ի անվտանգության ծանուցման մեջ։ Ընկերության խոսքով՝ նոր տեղեկություններ ստանալուն պես կթարմացվի արտադրանքների կարգավիճակի աղյուսակը։