تواجه بوابات وواجهات GlobalProtect في PAN-OS من Palo Alto Networks استغلالًا نشطًا لثغرة أمنية عالية الخطورة (CVE-2026-0257) تسمح بتجاوز المصادقة. كشفت Unit 42، وهي ذراع الاستشارات والاستجابة للحوادث في Palo Alto Networks، عن أن مجموعات متعددة من برامج الفدية، بما في ذلك Qilin وInc، تستغل هذه الثغرة منذ أوائل يونيو، مستهدفة قطاعات واسعة مثل المالية والرعاية الصحية والتصنيع.
تسمح هذه الثغرة للمهاجمين بتجاوز القيود الأمنية وإنشاء اتصال VPN غير مصرح به. على الرغم من أن Palo Alto Networks كشفت عن الثغرة وأصدرت تصحيحًا لها في 13 مايو، وصنفتها مبدئيًا على أنها متوسطة الخطورة، فقد تغير هذا التقييم بسرعة. أشار باحثو Rapid7 إلى ملاحظتهم لعمليات استغلال ناجحة تعود إلى 17 مايو على الأقل. وحذرت ReliaQuest أيضًا من أن مجموعات تهديد أخرى، بما في ذلك مشغلي برامج الفدية Settra، تستغل هذه الثغرة للوصول الأولي إلى الشبكات المؤسسية.
تكتيكات متقدمة للهجمات
بعد الحصول على موطئ قدم أولي، يستغل المجرمون هذه الثغرة لتجاوز ضوابط المصادقة متعددة العوامل (MFA) وإنشاء جلسة VPN. ثم ينتقلون جانبيًا عبر الشبكات باستخدام بروتوكول سطح المكتب البعيد (RDP) وكتلة رسائل الخادم (SMB)، ويزرعون برمجيات خبيثة إضافية لسرقة بيانات الاعتماد والبيانات، قبل نشر برامج الفدية في نهاية المطاف.
وقد رصدت Unit 42 تكتيكات متطورة، مثل الانتقال المباشر إلى طبقة المحاكاة الافتراضية. في إحدى الحالات، انتقل المهاجمون من بوابة VPN المخترقة إلى جهاز إدارة vCenter، حيث قاموا بتعطيل ضوابط الأمان على ESXi hypervisors واستخدموا أداة مخصصة لإجراء تفريغ لبيانات الاعتماد دون اتصال بالإنترنت مباشرة من القرص الافتراضي لوحدة تحكم المجال (VMDK). هذه الطريقة تسمح لهم بتجاوز منتجات اكتشاف الاستجابة لنقاط النهاية (EDR) داخل الضيف، وتمثل أسلوبًا معقدًا للغاية لسرقة بيانات الاعتماد على مستوى النطاق بالكامل. كما لوحظ ربط هذه الثغرة مع ثغرات أخرى مثل CVE-2023-27532 التي تستهدف البنية التحتية لـ Veeam.
ما الذي يعنيه هذا للمطورين والمصممين؟
تُظهر هذه الهجمات المتقدمة الأهمية القصوى لتحديث الأنظمة والبرامج الأمنية باستمرار. بالنسبة للمؤسسات التي تستخدم بوابات وواجهات GlobalProtect في PAN-OS، يجب على الفور تطبيق التصحيحات الأمنية المتوفرة ومراجعة أنظمتها بحثًا عن أي علامات اختراق محتملة باستخدام مؤشرات الاختراق (IoCs) التي أصدرتها Unit 42.
نرى أن على المطورين الذين يعملون على البنية التحتية والشبكات أن يكونوا على دراية تامة بمؤشرات الاختراق هذه للتحقق من سلامة أنظمتهم. كما يجب تقييم نقاط الضعف المحتملة في سلسلة الهجوم، بما في ذلك الأنظمة الافتراضية وحلول النسخ الاحتياطي مثل Veeam. لا تنتظروا؛ التحديث الفوري ليس مجرد توصية، بل هو خطوة حاسمة للحماية من هذه التهديدات المتطورة.
المصدر: theregister.com