يواجه المسؤولون الذين يسارعون إلى تصحيح ثغرتين خطيرتين في PHP تفصيلاً مقلقاً: يبدو أن محاولات الاستغلال بدأت قبل الكشف العلني عن الثغرات.
قالت Amazon Web Services إنها رصدت هجوماً يعود إلى 17 أكتوبر أثناء مراجعة نشاط سجلّه نظام مكشوف للإنترنت ومتعمد الضعف. وأُصدرت الإصلاحات العامة للثغرات، المعروفة مجتمعة باسم PHP2Shell، في 21 أكتوبر.
نشاط قبل الكشف
مصائد الشبكة أنظمة مهيأة لتبدو ضعيفة كي يراقب المدافعون تقنيات الهجوم. ووفق AWS، جاء تجاوز 17 أكتوبر من عنوان IP مرتبط بشبكة إخفاء تجارية، مثل خدمة proxy أو VPN.
لم تتمكن AWS من تحديد كيفية حصول المهاجم على معلومات عن الثغرات قبل الكشف.
الاستغلال يتسع
بعد توفر الإصلاحات، بدأت تظهر برمجيات استغلال علنية لإثبات المفهوم. وتقول AWS إن بعضها ظهر قبل ساعات من موعد الكشف العام.
وتقيّم الشركة أن PHP2Shell يُستغل الآن على نطاق واسع في العالم الحقيقي، مع استمرار التحليل التقني.
ما الذي يثبته الاكتشاف
لا تحدد الأدلة هوية من يقف وراء نشاط 17 أكتوبر، ولا تؤكد نجاح الاستغلال أو مصدر المعلومات. لكنها تثبت أن AWS سجلت محاولة استهداف لمصيدة قبل الكشف العلني.
وعلى فرق الأمن تحديد عمليات PHP المتأثرة، وتطبيق الإصلاحات، والتحقيق في مؤشرات الاستغلال.
درس قصير في ضرورة التصحيح
لا يمثل الكشف العلني بداية الخطر، بل غالباً اللحظة التي يصبح فيها الخطر مرئياً لمجموعة أوسع من المدافعين والمهاجمين. وتظهر تقارير PHP2Shell أن الاستغلال قد يسبق تلك اللحظة.
تقول AWS إن الاستغلال منتشر بالفعل، ما يجعل التصحيح والتحقيق أولوية فورية.
يستند هذا المقال إلى تقرير Wired. اقرأ المقال الأصلي.
Originally published on wired.com