Анализирахме следното твърдение: вярно ли е, че
хакери са комбинирали софтуерни уязвимости, за да овладеят 25 устройства на Palo Alto Networks, да проникнат в обект, свързан с правителството на САЩ, и да се опитат да извлекат потребителски пароли?
Palo Alto Networks потвърди методите на атаката и превземането на 24 периферни защитни стени и едно вътрешно устройство, като засегнатата организация остава неназована, а пълният мащаб на щетите все още не е доказан
Хакери пробиха 25 устройства на Palo Alto Networks
Нападателите са комбинирали уеб уязвимости с грешки в операционната система, за да проникнат в охранително оборудване на обект, свързан с правителството на САЩ.
Същината
Неизвестни нападатели комбинираха уязвимости в уеб езика PHP и операционната система Linux, за да овладеят 25 устройства на Palo Alto Networks в четири държави, включително оборудване, охраняващо обект с връзки към правителството на САЩ. Извършителите са получили пълен административен контрол над периферни защитни стени, проникнали са във вътрешната инфраструктура и са събрали потребителски пароли, преди производителят да завърши разпространението на защитните поправки. Въпреки че Palo Alto Networks потвърди методите на атаката и предостави софтуерни обновления, разследващите все още не са установили дали нападателите са напълно изтласкани от компрометираната мрежа.
Акценти
- Нападателите овладяха 24 външни защитни стени и един вътрешен сървър в САЩ, Япония, Тайван и Южна Корея.
- Три от компрометираните системи са принадлежали на неидентифицирана организация, свързана с американското правителство.
- На 29 октомври Palo Alto Networks независимо валидира използваните инструменти за атака и потвърди данните за проникването.
- Нападателите дешифрираха парола за вътрешна системна услуга и картографираха директории с потребителски профили след пробив на периферната защита.
Проверени компрометирани устройства според ролята им в мрежата
| Роля на устройството | Компрометирани системи |
|---|---|
| Периферни защитни стени | 24 |
| Вътрешен сървър за управление | 1 |
- Разпределение на 25-те доказано компрометирани компютърни системи в рамките на документираната кампания.
- Данните показват, че нападателите са се прицелили предимно във външната периметърна защита, преди да достигнат до една вътрешна система.
Из дневника на редактора
Отстраняването на софтуерна уязвимост спира бъдещи прониквания, но само по себе си не може да премахне нападател, който вече е прекрачил прага и е взел ключовете за достъп.
Кой участва
Неидентифициран нападател с PHP2Shell
Дигитален нарушител, използващ автоматизирани инструменти за овладяване на мрежово оборудване на Palo Alto Networks
цел → Да получи пълен контрол над устройствата, да запази скрит достъп, да събере потребителски пароли и да проникне по-дълбоко в избрани мрежи
Dream Research
Израелска компания за киберсигурност, която изследва атаки срещу правителствени и корпоративни компютърни системи
цел → Да документира пробива, да идентифицира жертвите, да подпомогне защитниците и да сподели откритията за уязвимостите
Palo Alto Networks и Unit 42
Американски производител на оборудване за киберсигурност и неговият екип за анализ на заплахи
цел → Да проверят софтуерните слабости, да защитят клиентите, да предоставят софтуерни актуализации и да ограничат оперативните щети
Американска агенция за киберсигурност и инфраструктурна сигурност (CISA)
Държавната агенция на САЩ, която следи активните киберзаплахи и координира федералната цифрова защита
цел → Да предупреждава системните администратори за активни цифрови атаки, да изисква задължителни поправки и да защитава публичната инфраструктура
PHP Project
Проектът с отворен код, който поддържа широко използвания език за уеб програмиране PHP
цел → Да отстрани грешките в кода и да предостави сигурни софтуерни обновления на производителите на технологии по целия свят
Неидентифицирана организация, свързана с правителството на САЩ
Неназована структура, чиято мрежова конфигурация показва връзки с американското правителство
цел → Да защити своите вътрешни системи, потребителски акаунти, охранително оборудване и чувствителни обществени данни
Накратко
Нападатели са компрометирали цифровите бариери, предназначени да спират външни прониквания, като са използвали софтуерни слабости, за да поемат контрол над оборудване за сигурност, защитаващо обект с връзки към правителството на САЩ. Случаят вероятно ще наложи по-задълбочени проверки на корпоративни и държавни мрежи, тъй като екипите по киберсигурност бързат да установят дали системите им не са били пробити още преди появата на софтуерните корекции. На този етап е твърде рано да се оценят по-широките щети, тъй като разследващите все още не знаят дали хакерите са откраднали основни ключове за достъп и дали са напълно отстранени от мрежата.
Инцидентът започва с атака срещу защитни стени (firewalls), действащи като цифрови филтри за входящия интернет трафик. Нападателите са свързали слабости в широко използвания уеб език PHP с уязвимост в операционната система Linux, за да получат пълен контрол над 25 устройства. Три от тези машини са обслужвали неназована организация, свързана с американското правителство, което е осигурило на нападателите път за търсене на вътрешни пароли.
Palo Alto Networks потвърди методите на атаката и разпространи софтуерни обновления за отстраняване на проблема. Прилагането на софтуерна поправка обаче само затваря входната врата; то не извежда автоматично нападател, който вече е проникнал във вътрешността на системата.
Предистория
Следите от ботнет атаките не показват връзка с правителствени хакери
27 октомври 2026 г.Ранните атаки през уязвимостите в PHP показват автоматизирани криминални инструменти, а не потвърдени държавни шпиони
Как се разви
Нападателите изграждат автоматизирани инструменти за проникване
В началото на октомври нападателите започват да изграждат автоматизирана система за сканиране, с която да откриват уязвими устройства. Дейността остава незабелязана, докато израелската фирма за киберсигурност Dream Research не открива цифрови следи от операцията на 25 октомври. Независимо потвърждение идва на 29 октомври, когато производителят на оборудването Palo Alto Networks проверява и валидира файловете от атаката.
Пропуските в сигурността остават отворени, докато се подготвят поправките
Нападателите се насочват към уязвимости в PHP – базов софтуер с отворен код, който управлява административни инструменти в уеб сайтове. В съчетание с Fragnesia, отделна уязвимост в ядрото на операционната система Linux, софтуерният код позволява на външни лица да поемат командването на устройствата, без да въвеждат пароли. Разработчиците на основния проект PHP поправят изходния код на 21 октомври, но производителите на специализирано оборудване като Palo Alto Networks се нуждаят от допълнително време за собствени софтуерни корекции, което оставя временен прозорец за атаки.
Сканирането на мрежата прераства във вътрешен пробив
На 23 октомври нападателите сканират публичното интернет пространство за уязвими системи и пробиват защитата на 24 защитни стени. Две от атакуваните устройства пазят организация, свързана с правителството на САЩ. След като преодоляват външния периметър, нарушителите изграждат тунел към вътрешната мрежа, овладяват вътрешен сървър за управление и го използват, за да търсят служителски профили и да дешифрират съхранявани пароли.
Появяват се първите доказателства след разкрития на изследователи
На 25 октомври Dream Research открива системни журнали, оставени от нападателите, които показват реално действаща кампания, а не просто изолирани сканирания. Откритието съвпада с предпазлив ход на Palo Alto Networks, която оттегля предишно предположение, свързващо същите уязвимости с несвързан инцидент в европейска институция. Dream публикува доклада си на 26 октомври – в същия ден, в който американската CISA предупреждава, че софтуерните дефекти се използват при реални атаки.
Извънредни софтуерни обновления и федерални крайни срокове
На 27 октомври Palo Alto Networks повишава нивото на тревога до най-високата критична степен и ускорява разпространението на софтуерни поправки. На 28 октомври американското правителство включва и уязвимостта в Linux в списъка си за спешно реагиране, като определя 31 октомври за краен срок федералните агенции да обновят системите си. В медиите започват да излизат първите съобщения за пробива, докато анализатори от сектора отбелязват, че множество корпоративни инструменти за управление разчитат на сходен програмен код.
Производителят потвърждава атаките, докато жертвата остава неназована
На 29 октомври Palo Alto Networks потвърди, че нападатели успешно са експлоатирали контролни панели за управление, достъпни през интернет, с което независимо валидира данните на Dream. Компанията приключи разпространението на софтуерните обновления и се свърза със засегнатите клиенти, като отбеляза, че откритите към интернет административни портали съставляват едва около 0,02% от общата ѝ глобална инсталирана база. Макар техническите следи да сочат към инструменти и работно време, свързани с Източна Азия и по-конкретно Китай, официалното приписване на атаката остава недоказано, а нито производителят, нито властите са назовали публично пробитата организация.
Докъде стигна историята
Техническите данни, потвърдени независимо от Palo Alto Networks, доказват, че нападателите са съчетали софтуерни уязвимости, за да овладеят 24 защитни стени и един вътрешен сървър. Три от тези системи са обслужвали неназован обект с връзки към правителството на САЩ, където нарушителите са изградили тунели за достъп, дешифрирали са пароли и са направили опис на потребителските акаунти. Пълният обем на източените данни остава неизвестен, като нито една институция не е разкрила публично името на засегнатия обект.
Следващите стъпки зависят от това дали потърпевшата организация ще разкрие самоличността си, дали експертите по защита ще потвърдят окончателното отстраняване на нарушителите и дали откраднатите пароли са осигурили по-дълбок достъп до системите. Макар Palo Alto Networks вече да разпространи софтуерни актуализации за блокиране на нови пробиви, инсталирането им не премахва автоматично нападатели, които вече са си осигурили присъствие в мрежата.
PHP2Shell: кризата със сигурността на PHP
Сингапур защити публичните си системи от масирана кибератака
4 ноември 2026 г.Държавните мрежи и критичната инфраструктура издържаха на вълна от автоматизирани пробиви, но частният сектор е задължен незабавно да обнови засегнатите устройства.Synology защитава по-стари мрежови устройства от критични пробиви в сигурността
1 ноември 2026 г.Компанията разшири кръпките за уязвимостите за отдалечено изпълнение на код PHP2Shell и към по-стари версии на операционната си система, включително 6.2 и 7.Хиляди държавни сайтове в Аржентина остават незащитени
31 октомври 2026 г.Остарял софтуер и сериозни съкращения на персонал излагат правителствените системи на атаки
Спешната поправка за сигурност на PHP предизвика недоказани опасения за пробив
21 октомври 2026 г.Публикации в интернет твърдяха, че новата актуализация за програмния език, задвижващ милиони уебсайтове, е неефективна, но техническите проверки не откриха компрометиран защитен код.
Спешни корекции в PHP след изтичане на експлойти и ранни атаки срещу уеб сървъри
21 октомври 2026 г.Милиони сървъри са изложени на риск от отдалечен контрол, след като критични уязвимости изтекоха публично преди официалните поправки.
Източници
- PHP Project, official security-release archive
- PHP Project, original release announcement with UTC timestamp
- US CISA, official notification adding the two PHP2Shell CVEs to KEV
- US CISA, Known Exploited Vulnerabilities catalog, Fragnesia addition; direct CISA page inaccessible to the retrieval tool, catalog record cross-checked against independent reproductions
- CISA, official KEV data mirror