خلاصه روزانه
آسیب‌پذیری RCE در Node2Shell، هشدار وصله نشده PHP و نقص Pillow در پایتون
جلسه توجیهی امروز خطرات اجرای کد از راه دور در Node.js و Python Pillow، یک توصیه‌نامه پیکربندی PHP وصله نشده و یک درب پشتی شبکه مش مورد استفاده در اوکراین را پوشش می‌دهد.
5 خبر3 دقیقه مطالعه
امروزه با ظهور بردارهای اجرای کد جدید در Node.js، PHP و کتابخانه تصویر Pillow پایتون، زمان‌های اجرای برنامه‌های وب و وابستگی‌های محبوب در مرکز توجه قرار گرفته‌اند. سازمان‌هایی که پلتفرم‌های وب را نگهداری می‌کنند باید این اجزای اصلی سرور را بررسی کرده و به‌روزرسانی‌ها را به سرعت اعمال کنند.
در عین حال، عملیات سایبری هدفمند، تاکتیک‌های پایداری رو به پیشرفتی را نشان می‌دهند. عوامل تهدید Sandworm و UAC-0099 از یک درِ پشتی شبکه مش جدید در کنار پاک‌کننده‌های داده استفاده کردند و بر لزوم نظارت بر کانال‌های فرماندهی و کنترل غیرسنتی در زیرساخت‌های حیاتی تأکید کردند.
نقص بحرانی در کتابخانه تصویر محبوب Pillow پایتون، امکان اجرای کد از طریق یک تصویر دستکاری‌شده را فراهم می‌کند.
یک آسیب‌پذیری بحرانی در کتابخانه Pillow پایتون (CVE-2026-112900) امکان اجرای کد از راه دور را هنگام پردازش تصاویر EPS فراهم می‌کند. Pillow نام فایل‌ها را بدون اعتبارسنجی به Ghostscript ارسال می‌کند و تزریق دستور از طریق نام فایل‌های دستکاری‌شده را امکان‌پذیر می‌سازد. این نقص در نسخه ۱۳.۰.۰ Pillow برطرف شده است.
- چرا اهمیت دارد
- Pillow به طور گسترده در برنامه‌های وب، گردش‌های کاری پردازش تصویر و خطوط لوله یادگیری ماشین مورد استفاده قرار می‌گیرد و سیستم‌هایی را که تصاویر غیرقابل اعتماد را پردازش می‌کنند، در معرض اجرای دستور قرار می‌دهد.
هکرهای مرتبط با روسیه در حمله مخرب به اوکراین از یک درب پشتی شبکه مش جدید استفاده کردند
گروه تهدید تحت حمایت دولت روسیه، Sandworm، با UAC-0099 در یک حمله مخرب علیه یک شرکت لجستیکی اوکراینی همکاری کرد. UAC-0099 درب پشتی MATCHWOK و یک درب پشتی شبکه مش جدید به نام MythicRatatoskr را مستقر کرد و قبل از واگذاری دسترسی به Sandworm برای اجرای یک پاک‌کننده داده، از طریق Yggdrasil ارتباط برقرار کرد.
- چرا اهمیت دارد
- مهاجمان از زیرساخت‌های جدید C2 روی شبکه‌های مش مانند Yggdrasil برای جلوگیری از شناسایی شدن قبل از اجرای پاک‌کننده‌های مخرب داده‌ها استفاده می‌کنند.
محققان با استفاده از داده‌های Brotli دستکاری‌شده، اکسپلویت Node2Shell RCE را روی Node.js build نشان می‌دهند.
محققان یک بهره‌برداری اجرای کد از راه دور Node2Shell را علیه نسخه‌های رسمی Node.js نسخه ۲۴.۲۲.۰ لینوکس با معماری arm64 نشان دادند. این بهره‌برداری با ارسال داده‌های فشرده مخرب برای اجرای کد دلخواه، یک نقص رمزگشایی Brotli (CVE-2026-111497) را هدف قرار می‌دهد. نسخه‌های اصلاح‌شده، از جمله Node.js نسخه ۲۴.۲۲.۱، این بار داده را رد می‌کنند.
- چرا اهمیت دارد
- برنامه‌هایی که داده‌های فشرده‌شده‌ی Brotli غیرقابل اعتماد را با استفاده از نسخه‌های آسیب‌پذیر Node.js رمزگشایی می‌کنند، مستعد اجرای کد از راه دور هستند.
دو روز پس از وصله‌های اضطراری PHP2Shell، PHP در مورد یک RCE وصله نشده دیگر هشدار داد
PHP در مورد آسیب‌پذیری CVE-2026-115560، یک آسیب‌پذیری RCE وصله نشده که تنظیمات session.serialize_handler را با تنظیم php_binary یا php_serialize تحت تأثیر قرار می‌دهد، هشدار داد. این به‌روزرسانی از وصله‌های اضطراری برای CVE-2026-109618 و CVE-2026-109619 پیروی می‌کند. PHP وصله اضطراری منتشر نمی‌کند و توصیه می‌کند که پیشرفت آپلود جلسه غیرفعال شود.
- چرا اهمیت دارد
- برنامه‌های وب با گزینه‌های پیکربندی خاص جلسه PHP تا به‌روزرسانی روتین بعدی، در برابر اجرای کد از راه دور آسیب‌پذیر باقی می‌مانند.
HPE هشت نقص RCE و دور زدن احراز هویت با حداکثر شدت را در AOS وصله می‌کند.
صفحه تأیید BleepingComputer یک چالش امنیتی Cloudflare را ایجاد کرد و از بازیابی جزئیات مربوط به انتشار وصله HPE برای نقص‌های AOS جلوگیری کرد.
نکات کلیدی
- برای جلوگیری از اجرای کد از راه دور از طریق نقص رمزگشایی Brotli با شناسه CVE-2026-111497، Node.js را به نسخه ۲۴.۲۲.۱ به‌روزرسانی کنید.
- عوامل مرتبط با روسیه از درِ پشتیِ MythicRatatoskr برای برقراری ارتباط از طریق شبکه‌ی توری Yggdrasil قبل از حمله‌ی پاک‌سازی داده‌ها استفاده کردند.