ثغرة CVE-2026-5426: كيف حوّل مفتاح مشفر ثابت في نظام KnowledgeDeliver التعليمي إلى منصة لإطلاق هجمات Cobalt Strike

لب الثغرة: سر مشترك

خطورة ثغرة CVE-2026-5426 تنبع من فشل تصميمي أساسي. عنصر machineKey في ملف الإعدادات web.config لتطبيقات ASP.NET من المفترض أن يكون سراً فريداً وآمناً من الناحية التشفيرية، يُستخدم لتشفير والتحقق من صحة بيانات حساسة مثل ViewState و"تذاكر المصادقة" (Authentication Tickets). لكن شركة Digital Knowledge قامت بتضمين مفتاح machineKey ثابت واحد، يحتوي على كل من validationKey و decryptionKey، في ملف الإعدادات القياسي المُرفق مع كل نسخة من النظام .

ولأن المفتاح كان متطابقاً في كل عمليات النشر ومثبتاً بشكل ثابت، أصبح سراً معروفاً للعامة. يمكن لأي مخترق يحصل على هذا المفتاح أن يقوم بتزوير حمولة خبيثة لـ ViewState. بإرسال هذه الحمولة في طلب POST إلى أي صفحة بصيغة aspx.، يمكنه تجاوز آليات الحماية من التلاعب في ASP.NET. حيث يقبل الخادم الحمولة المزورة على أنها شرعية ويقوم بعملية فك التحويل التسلسلي (Deserialization)، مما يسمح للمهاجم بتنفيذ أوامر برمجية عشوائية على خادم الويب IIS الأساسي دون أي مصادقة . قامت قاعدة بيانات الثغرات الوطنية (NVD) بتصنيف هذه الثغرة بدرجة خطورة CVSS تبلغ 7.5 (عالية)، مما يعكس سهولة استغلالها عبر الشبكة من قِبل مهاجم غير مصرح له .

سلسلة الهجوم المتسلسلة: من الاختراق الأولي إلى نشر Cobalt Strike

وثق تحقيق Mandiant هجوماً معقداً ومتعدد المراحل، استخدم المنصة كسلاح ليُصيب مستخدميها .

المرحلة الأولى: تنفيذ أوامر عن بُعد بدون مصادقة

بدأ المهاجم الاختراق بتحديد صفحة دخول KnowledgeDeliver المكشوفة للعامة، ثم أرسل طلب HTTP POST مُعدّ بعناية. كان جسم هذا الطلب يحتوي على ViewState خبيث تم تزويره باستخدام المفتاح الثابت المعروف. عند إتمام عملية فك التحويل التسلسلي، نفذت الحمولة كوداً خبيثاً بصلاحيات عملية IIS (أي صلاحيات عالية على الخادم)، مما أعطى المهاجم موطئ قدم أولي غير مصرح به على الخادم .

المرحلة الثانية: تثبيت الاختراق باستخدام برمجية Godzilla

للحفاظ على الوصول طويل الأمد، قام المهاجم بنشر برمجية خبيثة تعمل داخل الذاكرة تُعرف باسم Godzilla، والتي يتتبعها فريق Mandiant داخلياً تحت اسم BLUEBEAM. هذه الأداة المبنية بتقنية .NET سمحت للمخترق بتنفيذ الأوامر، ورفع الملفات، وإدارة الخادم المُخترق دون ترك ملفات .aspx خبيثة على القرص، مما يجعل اكتشافه عبر الفحص البسيط للملفات أمراً بالغ الصعوبة .

المرحلة الثالثة: حقن سكريبت خبيث

بعد تثبيت قناة أوامر مستمرة، استخدم المهاجم هذه البرمجية لتعديل ملفات JavaScript التي يقدمها نظام LMS. قاموا بحقن سكريبت خارجي يعرض تنبيهاً أمنياً أو طلباً وهمياً للمستخدمين النهائيين الذين يزورون الموقع المُخترق. كان عنصر الهندسة الاجتماعية هذا هو نقطة التحول الحاسمة، حيث حوّل اختراق الخادم إلى تهديد مباشر لكل طالب أو موظف يستخدم النظام .

المرحلة الرابعة: إصابة المستخدمين بـ Cobalt Strike Beacon

قام السكريبت المحقون بتوجيه الضحايا لتحميل ما يبدو أنه مكون إضافي (Plugin) أو برنامج تثبيت ضروري. في الواقع، كان الملف الذي تم تحميله عبارة عن حمولة خبيثة تُدعى Cobalt Strike Beacon. تقوم هذه البوابة الخلفية عالية القدرة بإنشاء اتصال مستمر مع البنية التحتية للقيادة والتحكم (C2) الخاصة بالمهاجم، مما يمنحه صلاحية الوصول الكامل عن بُعد إلى جهاز الضحية. لاحظ فريق Mandiant أن ملف الحمولة الخبيثة كان مشفراً باستخدام اسم المؤسسة المُخترقة كمفتاح للتشفير، مما يشير بقوة إلى أن المهاجمين كانوا يحضرون حمولات مخصصة لأهدافهم .

خطوات الإصلاح والحماية الموصى بها من Mandiant

بناءً على تحليلهم، حدد خبراء Mandiant إجراءات فورية وطويلة الأجل للمسؤولين عن الأنظمة المتأثرة :

• توليد مفتاح machineKey فريد: الخطوة الأكثر أهمية هي الاستبدال الفوري للمفتاح الثابت في ملف web.config بمفتاح جديد، مولد عشوائياً وآمن تشفيرياً، وفريد خاص بنشر نظامك. هذا الإجراء يلغي جوهر ثغرة CVE-2026-5426 .
• تثبيت تحديث المُنتِج: قم بتثبيت التحديث الرسمي لنظام KnowledgeDeliver الذي صدر في 24 فبراير 2026، والذي يعالج مشكلة المفتاح الثابت على مستوى التطبيق .
• تحصين إعدادات ViewState: قم بتفعيل تشفير ViewState والتحقق من صحة رمز مصادقة الرسالة (MAC) بشكل صريح. إذا كان ذلك ممكناً، قم بتقييد استخدام ViewState على جلسات المستخدمين المُصادق عليهم فقط.
• إجراء تحقيق جنائي رقمي (Forensic): افحص سجلات خادم ويب IIS بدقة بحثاً عن طلبات POST غير طبيعية لصفحات .aspx، والتي تعتبر مؤشراً قوياً على محاولات استغلال ثغرة ViewState. استخدم أدوات كشف نقطة النهاية والاستجابة لها (EDR) لفحص الخادم والشبكة بحثاً عن مؤشرات الاختراق (IOCs) المرتبطة ببرمجية Godzilla أو Cobalt Strike Beacon .
• تعزيز تجزئة الشبكة: تأكد من عزل خوادم LMS منطقياً عن أجهزة المستخدمين النهائية والأصول الهامة الأخرى للحد من فرص الحركة الجانبية في حالة اختراق الخادم.
• توليف قواعد كشف نقطة النهاية: انشر أو حسّن كشف EDR لتحديد حمولات Beacon على أجهزة العمل، واكتشاف العلاقات المشبوهة بين العمليات الأساسية والفرعية (Parent-Child) التي تنشأ من عمليات IIS (w3wp.exe).
• مراقبة أنشطة ما بعد الاستغلال: قم بعمليات مطاردة استباقية للتهديدات (Threat Hunting) بحثاً عن علامات جمع بيانات الاعتماد، والحركة الجانبية، وتسريب البيانات التي قد تلي نشر برمجية Cobalt Strike Beacon.

هذه الحادثة بمثابة تذكير صارخ بأن إعدادات الأمان الافتراضية في البرامج التجارية أمر بالغ الأهمية. سر واحد مشترك، موجود في منتج واسع الاستخدام، يمكن أن يتحول إلى مفتاح هيكلي (Skeleton Key) يسمح للمهاجمين ليس فقط باختراق الخوادم، بل أيضاً بتحويل تطبيق موثوق إلى سلاح يُستخدم ضد كامل قاعدة مستخدميه.