قوالب Nuclei لحملة استغلال أنظمة إدارة المحتوى (CMS)

حزمة قوالب Nuclei دفاعية للحملة واسعة النطاق لاستغلال أنظمة إدارة المحتوى (CMS) التي أبلغ عنها مركز الأمن السيبراني الأسترالي التابع لـ ASD في 9 يوليو 2026.

الإشعار الأمني: https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/large-scale-exploitation-campaign-targeting-website-content-management-systems-cms

السياق

هذا التنبيه ذو صلة بجميع مالكي ومديري المواقع الأستراليين، وهو موجَّه لجمهور تقني.

أبلغ مركز الأمن السيبراني الأسترالي (ACSC) التابع لـ ASD عن حملة استغلال واسعة النطاق تستهدف الثغرات الأمنية في أنظمة إدارة المحتوى على مستوى العالم، بما في ذلك أستراليا، حيث تأثرت العديد من الشركات الأسترالية الصغيرة والمتوسطة الحجم.

يقوم الفاعلون الخبيثون في الفضاء الإلكتروني بمسح المواقع بنشاط بحثًا عن فرص لنشر القشرة الويب (webshells) من خلال استغلال الثغرات في برامج أنظمة إدارة المحتوى والإضافات. تسمح فئات الثغرات المستغلة بشكل أساسي برفع الملفات دون مصادقة، أو تنفيذ التعليمات البرمجية عن بُعد، أو تزوير الطلبات من جانب الخادم (SSRF)، أو إلغاء التسلسل.

بمجرد نشرها، يمكن للقشرة الويب أن تتيح وصولًا وتحكمًا عن بُعد في خوادم الويب المستهدفة. قد تُستخدم الخوادم المخترقة لتشويه المواقع أو تعطيلها، أو التقاط بيانات الاعتماد والبيانات، أو توصيل البرمجيات الخبيثة لمستخدمي المواقع الشرعيين، أو كمسار لاختراق أوسع للشبكة.

التغطية

يتضمن هذا المستودع 16 قالب CVE وقالبين للكشف عن المنتج فقط لمجموعة الحملة.

يؤكد pay-uz-detect.yaml وmaxsite-cms-detect.yaml وجود المنتج فقط، ولا يؤكدان أن الإصدار معرض للخطر أو قابلية الاستغلال.

حيثما توفرت، فُضِّلت الفحوصات السلبية المستمدة من Wordfence عبر topscoder/nuclei-wordfence-cve على فحوصات POST النشطة. وتقتصر القوالب المتبقية القائمة على POST على الحالات التي لم يُضَف لها بديل سلبي هنا.

الاستنساخ والتشغيل

ثبِّت أو حدِّث Nuclei:

go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
nuclei -update

استنسخ هذا المستودع:

git clone https://github.com/rxerium/cms-exploitation-campaign.git
cd cms-exploitation-campaign

أنشئ قائمة أهداف تحتوي على عنوان URL واحد في كل سطر:

cat > targets.txt <<'EOF'
https://example.com
https://cms.example.org
EOF

شغّل جميع القوالب:

nuclei -l targets.txt -t . -o cms-campaign-results.txt

شغّل مع حدود معدل متحفظة:

nuclei -l targets.txt -t . -rl 5 -c 2 -retries 1 -timeout 10 -o cms-campaign-results.txt

شغّل قالب CVE واحد:

nuclei -l targets.txt -t CVE-2024-9234.yaml -o CVE-2024-9234-results.txt

شغّل قالب كشف المنتج فقط:

nuclei -l targets.txt -t pay-uz-detect.yaml -o pay-uz-detect-results.txt

إرشادات التخفيف الفورية

يوصي مركز الأمن السيبراني الأسترالي (ACSC) التابع لـ ASD مالكي المواقع بتأكيد ما إذا كانت الخوادم متأثرة ومعالجتها وفقًا لذلك:

• افحص أدلة الويب الخاصة بنظام إدارة المحتوى وأدلة الإضافات بحثًا عن القشرة الويب أو تغييرات غير طبيعية في الملفات المواجهة للإنترنت.
• افحص سجلات الوصول إلى الويب بحثًا عن عناوين IP التي ترسل طلبات GET أو POST إلى مسارات القشرة الويب.
• تعامل مع الخوادم التي تم تحديد قشرة ويب فيها على أنها مخترقة، واعزلها، ودقق في سجلات المصادقة والشبكة.
• راجع الطلبات المشبوهة السابقة المرتبطة بالاستغلال الأولي ونشر القشرة الويب.
• راجع سجلات الشبكة بحثًا عن تفاعلات مع عناوين IP التي شوهدت وهي تتواصل مع القشرة الويب.
• حقق في السجلات والمضيفين بحثًا عن الثبات أو الحركة الجانبية أو إنشاء الحسابات أو محاولات استخراج البيانات أو نشر البرمجيات الخبيثة.
• طبّق التصحيحات على الأنظمة المعرضة للخطر لمنع إعادة الإصابة، وأزل أو اعزل القشرة الويب والبرمجيات الخبيثة، وأزل آليات الثبات، ولا تُعِد الأنظمة إلى الإنترنت إلا عندما تكون آمنة.
• استعد المواقع من نسخة احتياطية حديثة معروفة بأنها سليمة عندما تشير الأدلة إلى الاختراق.

تشمل الحمايات الإضافية: إبقاء برامج أنظمة إدارة المحتوى والإضافات محدثة، وتطبيق التصحيحات الأمنية تلقائيًا حيثما كان ذلك مقبولًا، وتعطيل الإضافات التي تحتوي على ثغرات يتم استغلالها بنشاط حتى يتم تصحيحها، واستخدام الخدمات السحابية حيث يقوم المزودون بمعالجة الثغرات بسرعة، ومراقبة أو حظر إنشاء الملفات في أدلة الويب، وتقييد الوصول إلى الملفات والمسارات، ومراقبة العمليات الفرعية غير المتوقعة لخادم الويب، وتطبيق التحكم في التطبيقات، والحد من الاتصالات الشبكية غير الضرورية بين المواقع المواجهة للإنترنت وأجهزة الشركات.

إذا كان مزود الخدمة يدير موقعك، فوجّهه إلى الإشعار الأمني. يمكن للمنظمات التي تأثرت، أو تشتبه في تأثرها، أو تحتاج إلى المشورة والمساعدة إبلاغ مركز الأمن السيبراني الأسترالي (ACSC) التابع لـ ASD عبر https://www.cyber.gov.au/report.

الاعتمادات

تم جمع القوالب من أو اشتقاقها من:

• ProjectDiscovery nuclei-templates: https://github.com/projectdiscovery/nuclei-templates
• topscoder nuclei-wordfence-cve: https://github.com/topscoder/nuclei-wordfence-cve
• Wordfence Intelligence: https://www.wordfence.com/threat-intel/
• قوالب rxerium: https://github.com/rxerium/rxerium-templates
• الإشعار الأمني الصادر عن ACSC التابع لـ ASD والمذكور أعلاه

استخدم هذه القوالب فقط على الأصول التي تملكها أو المخوَّل بتقييمها. تحقق من النتائج يدويًا قبل اعتبار أي مضيف معرضًا للخطر.