Fragnesia وPHP2Shell: المرحلة الثانية التي تحوّل ويب شيل إلى صلاحيات الجذر

تتعامل معظم التغطيات التي تتناول الويب شيل معه على أنه نهاية الحكاية: فقد تسلّل شيء ما إلى النظام، وها هي الحمولة، فبادر بترقيع الجهاز. أما Fragnesia فهو ما يحدث بعد ذلك. إن CVE-2026-46300 ثغرة تصعيد امتيازات محلي في نواة لينكس، كُشِف عنها في مايو 2026 مع إثبات مفهوم متاح للعموم، وأُضيفت إلى كتالوج الثغرات المعروفة المستغلة لدى CISA في 28 أكتوبر، والسبب الذي جعلها تصل أخيرًا إلى تلك القائمة هو أن المهاجمين ظلوا يستخدمونها بوصفها النصف الثاني من سلسلة يمثّل النصف الأول منها ثغرة PHP2Shell التي كتبنا عنها في 23 أكتوبر.

النتيجة، وفقًا لتقرير Dream Security عن الحملة: اختراق 25 خادمًا بصلاحيات الجذر في الولايات المتحدة واليابان وتايوان وكوريا الجنوبية، بما في ذلك شبكة واحدة مرتبطة بالحكومة الأمريكية. إن قشرة ويب على جهاز موصول بالإنترنت تشكّل موطئ قدم؛ وثغرة النواة هي ما تحوّله إلى آلة يملكها المهاجم بأعلى مستوى من الصلاحيات، مع عدم بقاء حمايات الجهاز نفسه في الطريق.

ما هو Fragnesia

يصف إدخال كتالوج CISA الثغرة CVE-2026-46300 بأنها ثغرة "عدم تهيئة متغير في نواة لينكس". ويضع تحليل Tenable هذه الثغرة في مسار ESP-in-TCP داخل النواة — أي شيفرة xfrm التي تنقل حركة IPsec عبر TCP — ويصنّفها على أنها تصعيد امتيازات محلي. ووجود متغير يُستخدم قبل تهيئته بالكامل يتيح لمُهاجم محلي التأثير في حالة النواة، كما أن إثبات المفهوم المنشور يصل إلى صلاحيات الجذر.

خاصيتان تجعلانه خطيرًا عند اجتماعهما لا بمفرده:

• إنه تصعيد محلي. يتطلب تنفيذ شفرة على الجهاز أولاً، ولهذا ليس CVE رئيسياً بحد ذاته، ولهذا هو مدمّر كمرحلة ثانية.

• إثبات المفهوم متاح للعموم منذ مايو. لم تكن هناك أي نافذة احتاج فيها المهاجم إلى تطوير أي شيء — بل كانت هناك فقط نافذة احتاج فيها المدافعون إلى تطبيق تحديث للنواة كانوا قد أُخبروا به مسبقًا.

تلك الفجوة بين إفصاح في مايو وإضافة إلى KEV في أكتوبر هي ما يستحق التوقف عنده. فـ KEV يسجّل الاستغلال المرصود، لا الإفصاح. يمكن لثغرة أن تظل في حالة مجاورة للكتالوج لمدة خمسة أشهر، ثم تنتقل إليه بمجرد أن يجمّع أحدهم سلسلة موثوقة حولها.

السلسلة، بالترتيب

PHP2Shell هو الشق الخاص بالدخول: CVE-2026-109618 وCVE-2026-109619، اللذان جرى استغلالهما في واجهات إدارة Palo Alto Networks المكشوفة على الإنترنت، وهي فئة أجهزة PHP وليست فئة منتجات أمن الشبكات التي يتخيلها الناس عند سماع اسم المورّد. وتمنح قشرة الويب المهاجم تنفيذ التعليمات البرمجية بصفة مستخدم الويب على قاعدة Linux الخاصة بالجهاز.

الهروب هو نصف Fragnesia الآخر: من ذلك السياق غير المُميَّز، تصل ثغرة النواة إلى صلاحيات الجذر. وبعد الوصول إلى الجذر، لم يعد المهاجم يواجه تطبيقًا — فسجلات الجهاز وإعداداته ومفاتيحه والأنفاق التي يُنهيها كلها أصبحت قابلة للقراءة والكتابة. على جدار حماية، هذا هو الفرق بين «خدمة واحدة قد اختُرقت» و«المحيط الأمني قد اختُرِق».

سببُ كون هذا الاقتران أهمَّ من أيٍّ من ثغرتَي CVE هو أن موردي الأجهزة يتباطؤون في إصدار التصحيحات لأسباب هيكلية: فالبرنامج الثابت يُشحَن كصورة، ويحتاج التحديث إلى نافذة صيانة، ولدى هذا المجال ذيل طويل من الأجهزة لن يحدّثها أحد أبدًا. إن سلسلةً لا تحتاج إلى تطوير استغلال جديد وتصيب أجهزة متأخرة عن الركب هي سلسلة ستظل تعمل.

ما الذي يجعل هذا قصةً لا مجرد حاشية؟

ثلاثة أشياء، مرتبة حسب مقدار التغيير الذي ينبغي أن تُحدثه في أسبوعك.

أولاً، عبرت الحملة قطاعات وحدوداً في عملية واحدة، وهو ما يمثل سمةً مميزة لمسح البنية التحتية بدلاً من اختراق مستهدف. خمسة وعشرون مضيفاً في أربع دول هو ما يبدو عليه الاستغلال الناجح عندما يُنفَّذ على شكل مسح شامل.

ثانيًا، تُوصَف إحدى الشبكات المخترقة بأنها تابعة للحكومة الأمريكية. ولهذا أضافت CISA ثغرة النواة خلال يوم واحد من التقرير بدلًا من وتيرتها المعتادة، ولهذا أيضًا يوجد هذا الإدخال أصلًا: فالكتالوج قائمة خاصة بالمدافعين، لا بالباحثين.

ثالثًا، يذكر التقرير عن الحملة أن أدوات الذكاء الاصطناعي ربما ساهمت في الاختراق. لكن هذا الادعاء غير مثبت، والقراءة الأمينة هي أنه فرضية مرتبطة بعملية سريعة متعددة الأهداف، وليس نتيجة يملك أحد أدلة منشورة عليها. ويجدر تتبعها لأنها المرة الثالثة هذا الشهر التي تنتهي فيها قصة أمنية بعبارة «وربما فعل ذلك وكيل» — والأوليان، أي اكتشاف Brotli وإثبات مفهوم Linux TCP، كانا موثقين لا تخمينيين.

ما يجب التحقق منه

• إصدار النواة على أي مضيف Linux يُنهي حركة المرور العامة، وخاصة الأجهزة. تحتاج Fragnesia إلى نواة تسبق الإصلاح، وقد أصبح الإصلاح متاحًا منذ الكشف في مايو.

• مسار ESP-in-TCP تحديدًا. إذا كنت لا تشغّل IPsec over TCP، فإن تعطيل الوحدات المعنية يزيل سطح الهجوم — وهي العائلة نفسها من إجراءات التخفيف المستخدمة في ثغرات التجزئة السابقة، وقد وثّقتها عدة فرق HPC جامعية كإجراء مؤقت عملي.

• فئة أجهزة PHP الخاصة بنصف الدخول. أي جهاز تعمل واجهته الإدارية بـ PHP ويمكن الوصول إليه من الإنترنت هو الشريحة التي اختارت هذه الحملة منها.

• ما إذا كانت عملية التصحيح لديك تصل فعلاً إلى تلك الأجهزة. هذا هو السؤال الذي تجيب عنه الحملة نيابةً عنك: 25 مضيفًا مخترَقًا بصلاحيات الجذر هو قياس لعدد الأشخاص الذين لم يطبّقوا إصلاحًا للنواة مضى عليه خمسة أشهر.

لماذا نكتب هذه اللحظة

منشور PHP2Shell الخاص بنا هو الصفحة الوحيدة في موجة CVE الحالية التي جلبت حركة مرور حقيقية — نحو 260 مرة ظهور وثلاث نقرات على مدى سبعة أيام، وهو رقم صغير بالقيمة المطلقة وضخم نسبيًا مقارنة بصفحات CVE الأخرى على هذه المدونة، التي لها مرات ظهور ولا نقرات على الإطلاق. ذلك إشارة إلى النية: فالأشخاص الذين يبحثون عن CVE محدد يريدون شرح نقطة الدخول، ويبقون من أجل الجزء المتعلق بما يحدث بعد ذلك.

Fragnesia هي ذلك الجزء، وهي السبب في التعامل مع الموجة بوصفها سلسلة لا قائمة. فالقارئ الذي يرقّع PHP2Shell ولا يرقّع النواة يكون قد أغلق الباب وترك النافذة مفتوحة، والحملة الموصوفة هذا الأسبوع على هذا الشكل بالضبط.

تُفهرس OrcaRouter AI Incident Archive حوادث مثل هذه استنادًا إلى مصادر أولية ودرجة الخطورة ودرجة الثقة، وهو النسخة الدائمة من قصة ستُذكَر لولا ذلك على أنها «أمر متعلق بجدار حماية من أكتوبر».

ما الذي قد يغيّر هذا السرد: أدلة على أن حملة الخوادم الـ25 استخدمت تصعيدًا مختلفًا عن Fragnesia، أو تحليل تقني منشور ينسب الاختراق إلى استطلاع مدعوم بالذكاء الاصطناعي. لا يوجد أيٌّ منهما في المواد المتاحة في 30 أكتوبر، وكلاهما من نوع الادعاءات التي يجدر توصيفها بأنها مفتوحة بدلًا من حسمها بالاستنتاج الضمني.

ملاحظة حول المصادر: إضافة KEV في 28 أكتوبر وعنوان الكتالوج مأخوذان من تنبيه CISA الصادر في التاريخ نفسه. وآلية ESP-in-TCP وتصنيف تصعيد الامتيازات المحلية والإفصاح في مايو 2026 مع إثبات مفهوم علني مأخوذة من تحليل Tenable وسجل CVE. وعدد الخوادم البالغ 25 والبلدان الأربعة والشبكة المرتبطة بالحكومة الأمريكية مأخوذة من تقرير حملة Dream Security كما لُخّص في الصحافة الأمنية. وأرقام CVE الخاصة بـ PHP2Shell وفئة الواجهة المتأثرة مأخوذة من تغطيتنا الخاصة في 23 أكتوبر ومصادرها. وادعاء "قد تكون أدوات الذكاء الاصطناعي ساعدت" مأخوذ من تغطية صحفية للحملة وهو غير مؤكد صراحةً. وأرقام الزيارات لدينا مأخوذة من Search Console عن الأيام السبعة المنتهية في 29 أكتوبر.