PAN-OS CVE-2026-0300: جهات حكومية تستغل جدران الحماية المؤسسية باختراق على مستوى Root

جدار الحماية يصبح نقطة الدخول

في 6 مايو 2026، كشفت Palo Alto Networks عن CVE-2026-0300 — ثغرة تجاوز مخزن مؤقت حرجة في مكوّن User-ID Authentication Portal (البوابة الأسيرة) في PAN-OS، نظام التشغيل الذي يعمل على جدران الحماية من الجيل التالي PA-Series وVM-Series. تحمل الثغرة درجة CVSS 9.3، مما يجعلها من أشد ثغرات أمن الشبكات المُعلَن عنها في 2026.

آلية الاستغلال بسيطة ومقلقة: يرسل مهاجم غير مصادق عليه حزم شبكة مُصممة خصيصاً إلى بوابة المصادقة، مما يُحدث حالة كتابة خارج حدود المخزن المؤقت تُفضي إلى تنفيذ تعليمات برمجية عشوائية بامتيازات root. لا تتطلب أي بيانات اعتماد أو تفاعل مستخدم أو تكوين خاص — مجرد الوصول الشبكي إلى المنفذ 6081 أو 6082 (منافذ بوابة المصادقة) كافٍ.

بعد يوم واحد من الإفصاح في 7 مايو، حدّثت Palo Alto Networks إشعارها بتصعيد مهم: “هذه الهجمات يُرجَّح أنها من عمل جهات تهديد مدعومة من دول حكومية”. هذا يجعل CVE-2026-0300 ليس فقط تحدياً عاجلاً في إدارة الثغرات، بل حادثة جيوسياسية — عملية موجَّهة ضد أجهزة المحيط الشبكي المؤسسية بأعلى مستوى من التطور.

كشفت أبحاث أمن السحابة أن 7% من البيئات عالمياً لديها نسخ PAN-OS مكشوفة للعموم. رصد Shodan 67 خادماً مكشوفاً تحديداً على المنفذ 6081. تُقدّر Palo Alto أن أكثر من 5,800 نسخة من VM-Series متاحة عبر الإنترنت، منها 2,466 في آسيا و1,998 في أمريكا الشمالية.

تتوزع التصحيحات على موجتين: الأولى في 13 مايو 2026، والثانية في 28 مايو لإصدارات فرعية إضافية. كل يوم بين اليوم و13 مايو هو نافذة استغلال نشطة.

ما تعنيه درجة CVSS 9.3 عملياً

يمنح اختراق جدار حماية PAN-OS على مستوى root المهاجمَ ما يلي:

• وصول كامل إلى التكوين — قراءة وتعديل جميع قواعد جدار الحماية وتكوينات VPN وسياسات NAT وملفات تعريف الأمان
• اعتراض حركة المرور — القدرة على قراءة حركة المرور المُفكَّك تشفيرها المارّة عبر جدار الحماية (بما فيها جلسات مفتشة SSL)
• منصة للتحرك الجانبي — يمتلك جدار الحماية عادةً اتصالات شبكية موثوقة بجميع الشرائح التي يحميها؛ يُعدّ جدار الحماية المخترق نقطة محورية مثالية للتحرك نحو الشبكات الداخلية وبيئات OT والاتصالات السحابية
• وصول دائم — يتيح تنفيذ التعليمات على مستوى root تثبيت أبواب خلفية تنجو من إعادة تعيين التكوينات

تمتد إصدارات PAN-OS المتأثرة عبر الفروع 10.2 و11.1 و11.2 و12.1 — الإصدارات الأكثر انتشاراً في الشبكات المؤسسية ولدى مزودي الخدمة والحكومية عالمياً.

ما يجب على فرق الأمن المؤسسية فعله الآن

1. تدقيق طارئ: رسم خريطة لكل نسخة PAN-OS مكشوفة على الإنترنت

هذه ليست عملية إدارة تغيير معتادة — إنها تدقيق طارئ يجب اكتماله في ساعات لا أيام. ارسم خريطة لكل جدار حماية PA-Series وVM-Series في بيئتك. لكل منها، حدّد: هل بوابة مصادقة User-ID (البوابة الأسيرة) مُفعَّلة؟ هل هي مرتبطة بواجهة يمكن الوصول إليها من الإنترنت أو من شبكات غير موثوقة؟ انتقل إلى Device > User Identification > Authentication Portal Settings على كل وحدة تحكم إدارية. إشعار Palo Alto محدد: الاستغلال “يستهدف بوابات User-ID Authentication المكشوفة لعناوين IP غير موثوقة و/أو الإنترنت العام”. عمليات النشر الداخلية فقط تواجه خطراً ضئيلاً؛ النسخ المكشوفة على الإنترنت هي الهدف النشط.

2. تطبيق إجراءات التخفيف المؤقتة الموصى بها من المورد فوراً

لكل نسخة مكشوفة على الإنترنت تم تحديدها في الخطوة 1، طبّق أحد إجراءَي التخفيف المُعتمَدَين من Palo Alto دون تأخير. الأول هو تقييد الوصول إلى بوابة المصادقة لعناوين IP المصدر الموثوقة فقط — كوّن سياستك المحيطية للسماح بالبوابة فقط من نطاقات IP محددة وحجب جميع عناوين IP المصدر الأخرى. يمكن القيام بذلك كلياً ضمن سياسة PAN-OS دون تغيير برمجي ويستغرق نحو 15 دقيقة لكل جهاز. الثاني هو تعطيل بوابة المصادقة كلياً إذا كانت مؤسستك لا تستخدم ميزة البوابة الأسيرة بنشاط. يؤكد إشعار Palo Alto أن كلا الإجراءَين فعّالان.

3. جدولة نشر تصحيح طارئ في 13 مايو — اكسر نافذة التغيير المعتادة

أنشئ استثناءً لتجميد التغييرات لتصحيح PAN-OS فعّالاً الآن: عيّن مسؤولاً محدداً لكل جهاز معرض للثغرة، وجهّز نوافذ صيانة لـ 13-15 مايو، وأكّد إجراءات التراجع. تشمل إصدارات الهدف للدفعة الأولى من التصحيحات: 12.1.4-h5 و11.2.7-h13 و11.2.10-h6 و11.1.4-h33 و11.1.6-h32 و11.1.10-h25 و11.1.13-h5 و10.2.10-h36 و10.2.18-h6. للمؤسسات التي تشغّل إصدارات غير مدرجة في هذه الدفعة (الموجة الثانية تشمل 11.2.4-h17 و11.2.12 وغيرها)، يكون 28 مايو هو هدفك — طبّق التخفيفات المؤقتة الآن وجدّد الجدولة وفقاً لذلك.

سياق الجهات الحكومية: لماذا يتكرر هذا النمط

تتبع CVE-2026-0300 نمطاً موثقاً لمجموعات مدعومة حكومياً تُولي أولوية لاختراق أجهزة الحواف الشبكية كاستراتيجية وصول أولي. التقنية راسخة في تقارير استخبارات التهديدات: اختراق جهاز الأمان، واكتساب موطئ قدم لا تستطيع رؤيته أدوات أمان المؤسسة ذاتها، ثم استخدام الموضع الشبكي الموثوق للتحرك جانبياً.

ظهر هذا النمط مراراً في إشعارات CISA ومنشورات Five Eyes المشتركة منذ 2023. للمسؤولين التنفيذيين عن أمن المعلومات في المؤسسات، الخلاصة من هذا النمط هيكلية: يتطلب أمن أجهزة المحيط نفس الاستثمار في المراقبة المستمرة وإيقاع التصحيح واكتشاف التهديدات الذي تحتاجه أنظمة تشغيل نقاط النهاية والخوادم. تنهار فرضية “جدار الحماية يحمينا” حين يكون جدار الحماية نفسه هو الجهاز المخترق.

حساب الإلحاح

الأسبوع الممتد بين اليوم و13 مايو يحمل خطراً قابلاً للقياس. جهات حكومية تستغل نشطاً بوابات مصادقة PAN-OS المكشوفة على الإنترنت. الثغرة تمنح وصولاً على مستوى root لما هو اسمياً الجهاز الأكثر ثقةً في الشبكة المؤسسية. لا يوجد تصحيح. يوجد إجراءَا تخفيف موصى بهما من المورد ويمكن تطبيقهما في غضون ساعات.

الحساب ثنائي: طبّق التخفيفات المؤقتة أو اقبل خطر اختراق root لمحيط شبكتك من قِبَل جهة حكومية. لا يوجد مسار وسط.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• ثغرة حرجة في PAN-OS مستغَلة في بيئات حقيقية — Wiz Blog
• قراصنة مدعومون حكومياً يضربون zero-day جدار حماية Palo Alto — The Register
• تحليل CVE-2026-0300 — SOC Prime
• استغلال ثغرة جدران حماية Palo Alto — Help Net Security
• Palo Alto Networks تحذر من zero-day نشط في جدران الحماية — BleepingComputer