مجموعة أدوات التخفيف من CVE-2026-54420

مجموعة أدوات للتصحيح الدفاعي والتدقيق والتحقق لثغرة CVE-2026-54420 التي تؤثر على إضافة LiteSpeed لـ cPanel في بيئات الاستضافة المشتركة التي تستخدم CloudLinux / CageFS.

⚠️ إشعار أمني هذا المستودع مخصص فقط لمسؤولي الأنظمة ومزودي الاستضافة وبحوث الأمن الدفاعية. لا يتم تضمين أي كود استغلال أو أدوات هجومية أو برهان مفهوم مسلح.

حول CVE-2026-54420

تؤثر ثغرة CVE-2026-54420 على إصدارات معينة من إضافة LiteSpeed لـ cPanel / WHM، حيث يمكن إساءة استخدام التعامل مع الروابط الرمزية في بيئات الاستضافة المشتركة.

في التهيئات القابلة للاستغلال، قد يحاول مستخدم ذو صلاحيات منخفضة (مثال: من خلال حساب FTP مخترق، موقع ويب ضعيف، أو شيل ويب) استغلال الصلاحيات باستخدام سلوك الروابط الرمزية تحت ظروف معينة.

تساعد هذه المجموعة المسؤولين على:

• تطبيق سير عمل التخفيف الموصى به
• تدقيق النشاط المشبوه للروابط الرمزية
• البحث عن مؤشرات الاختراق (IOCs)
• التحقق من حالة التصحيح
• تحسين زمن الاستجابة أثناء الاستغلال النشط

الإصدارات المتأثرة

القابلة للاستغلال

• إضافة LiteSpeed لـ cPanel أقل من 2.4.8
• إضافة LiteSpeed لـ WHM أقل من 5.3.2.0

الموصى بها

الترقية إلى:

• إضافة LiteSpeed لـ cPanel ≥ 2.4.8
• إضافة LiteSpeed لـ WHM ≥ 5.3.2.0

تأكد دائمًا من التحقق من النصائح الرسمية للمورد.

المميزات

✅ أتمتة تخفيف LiteSpeed ✅ دعم تحديث CageFS وإعادة التركيب ✅ كشف الروابط الرمزية المشبوهة ✅ البحث عن مؤشرات الاختراق في الاستضافة المشتركة ✅ أدوات التحقق ✅ نشر خفيف الوزن يعتمد على Bash ✅ صديق لمزودي الاستضافة

هيكل المستودع

CVE-2026-54420-Mitigation/
├── README.md
├── LICENSE
├── fix.sh
├── detect_symlinks.sh
├── hunt_iocs.sh
├── verify.sh
└── .github/
    └── workflows/
        └── shellcheck.yml

التثبيت

استنساخ المستودع:

git clone https://github.com/mahfuzreham/CVE-2026-54420-Mitigation.git
cd CVE-2026-54420-Mitigation

جعل البرامج النصية قابلة للتنفيذ:

chmod +x *.sh

البداية السريعة

1. تطبيق التخفيف

تشغيل:

./fix.sh

سيقوم هذا بما يلي:

• تحديث مكونات LiteSpeed
• تحديث CageFS (إذا كان مثبتًا)
• إعادة تشغيل خدمة LiteSpeed
• عرض الإصدارات المثبتة

2. كشف الروابط الرمزية المشبوهة

./detect_symlinks.sh

يتحقق هذا من سلوك الروابط الرمزية المشبوهة المحتملة خارج مسارات الحسابات المتوقعة.

3. البحث عن مؤشرات الاختراق (IOC)

./hunt_iocs.sh

يساعد هذا في تحديد:

• ملفات PHP المعدلة حديثًا
• الرفع المشبوه
• مؤشرات شيلات الويب المحتملة
• إدخالات cron غير طبيعية

4. التحقق من حالة التصحيح

./verify.sh

يؤكد هذا:

• صحة خدمة LiteSpeed
• إصدارات الحزم المثبتة
• حالة CageFS

الإجراءات الموصى بها للمسؤولين

عند الاستجابة لهذه الثغرة:

1. التصحيح فورًا
2. تدقيق حسابات الاستضافة المشتركة
3. تغيير بيانات الاعتماد المخترقة
4. مراجعة رفع PHP المعدلة
5. التحقق من نشاط cron المشبوه
6. التحقق من عزل CageFS
7. مراجعة سجلات الوصول

سياسة الاستخدام الدفاعي

يتم توفير هذا المستودع بشكل صارم من أجل:

• الاستجابة للحوادث
• إدارة الأنظمة الدفاعية
• تعزيز الأمان
• تصحيح البنية التحتية

ليس من أجل:

• الوصول غير المصرح به
• الاستغلال
• النشاط الهجومي
• تعطيل الخدمة

المستخدمون مسؤولون عن الامتثال للقوانين واللوائح المعمول بها.

المساهمة

المساهمات مرحب بها.

المجالات المقترحة:

• منطق كشف أفضل
• تقليل النتائج الإيجابية الخاطئة
• التوافق مع توزيعات متعددة
• تحسينات الأداء
• تغطية إضافية لمؤشرات الاختراق

طلبات السحب (Pull Requests) موضع تقدير.

دعم هذا المشروع ❤️

إذا ساعدت هذه المجموعة في تأمين بنيتك التحتية أو ساعدت في الاستجابة للحوادث، ففكر في دعم الصيانة المستمرة وأبحاث الأمن مفتوحة المصدر.

☕ دعم ReselNom

التبرع الآمن

ShurjoPayment

تبرع بأمان

التبرع بالعملات الرقمية

BTC (BEP20 / BSC)

0x9c3d4f8aeb2eb9ab499047d43a7e18fd8212d9f8

يُرجى إرسال BTC (BEP20/BSC) فقط إلى هذا العنوان.

دعمك يساعد في تمويل:

• أبحاث أمن الاستضافة
• أدوات الاستجابة للحوادث
• مشاريع الأمن الدفاعية مفتوحة المصدر
• اختبار البنية التحتية

شكرًا لدعمك ReselNom 🚀

يُمنح الإذن بموجب هذا، مجانًا، لأي شخص يحصل على نسخة من هذا البرنامج وملفات التوثيق المرتبطة به للتعامل مع البرنامج دون قيود.