PHP2Shell já está a ser usado contra firewalls Palo Alto Networks expostas à internet
A Palo Alto Networks confirmou que as duas vulnerabilidades críticas PHP2Shell estão a ser exploradas ativamente contra interfaces de gestão PAN-OS acessíveis a partir da internet. A correção no projeto PHP foi publicada há apenas uma semana, e a janela entre o patch e a sua utilização ofensiva já se fechou.
O que aconteceu
As falhas estão registadas como CVE-2026-109618 e CVE-2026-109619, ambas com pontuação CVSS 9.2. Permitem a um atacante não autenticado executar código arbitrário em qualquer sistema que inclua uma versão vulnerável de PHP. O projeto PHP lançou as versões corrigidas (8.5.12, 8.4.27, 8.3.36 e 8.2.35) a 21 de outubro de 2026.
O PAN-OS integra PHP na sua pilha web de gestão, e é precisamente aí que a exploração está a atingir. O aviso atualizado do fabricante indica que os ataques ativos visam a interface web HTTPS e a API XML de firewalls e equipamentos Panorama cujo serviço de gestão está aberto à internet. Não é necessária qualquer configuração especial para que um dispositivo seja afetado. O plano de dados só fica em risco se um perfil de gestão tiver sido associado a uma interface de tráfego.
Nos dias anteriores ao aviso, um grupo de intrusão com suspeita de ligação à China foi observado a encadear o PHP2Shell com o Fragnesia (CVE-2026-46300, CVSS 7.8), uma vulnerabilidade de escalada local de privilégios no kernel Linux. A combinação deu aos operadores acesso root em cerca de 25 servidores nos Estados Unidos, Japão, Taiwan e Coreia do Sul, incluindo três sistemas num ambiente afiliado ao governo norte-americano. Os equipamentos comprometidos corriam software de firewall de um grande fabricante e, uma vez lá dentro, os atacantes avançaram sobre o Active Directory: os artefactos recuperados mostram extração de credenciais e enumeração do diretório.
O fabricante da firewall envolvido nessas intrusões não foi identificado, pelo que a ligação direta à campanha contra a Palo Alto Networks continua por confirmar. O momento, e a ausência de relatos semelhantes de outros fabricantes de segurança de rede, tornam a ligação plausível.
A agência norte-americana CISA adicionou a CVE-2026-46300 ao seu catálogo de vulnerabilidades exploradas conhecidas (KEV) e fixou o prazo de correção de 31 de outubro de 2026 para as agências federais. A CISA refere que a falha do kernel pode ser encadeada com as duas vulnerabilidades PHP para implantar web shells e executar comandos como root.
Porque é importante
O plano de gestão de uma firewall é a chave de toda a infraestrutura. Um atacante com root no dispositivo pode ler e alterar políticas, recolher credenciais, intercetar sessões VPN e de administração e pivotar diretamente para a rede interna. A atividade contra o Active Directory observada nas intrusões relacionadas mostra que não se trata de um ataque oportunista: os operadores usam a firewall como ponto de entrada.
A condição de exposição é simples e comum. Qualquer instalação PAN-OS cuja interface de gestão responda a endereços externos arbitrários é um alvo potencial, independentemente do resto da configuração.
Versões PAN-OS afetadas
As compilações corrigidas estão a ser publicadas por ramo; algumas ainda chegarão nos próximos dois dias.
| Ramo | Corrigido em |
|---|---|
| PAN-OS 12.2 | 12.2.4-h1 |
| PAN-OS 12.1 | 12.1.4-h13 (previsto 29 out), 12.1.7-h11, 12.1.10-h3 (previsto 30 out) |
| PAN-OS 11.2 | 11.2.4-h23 (previsto 30 out), 11.2.7-h23, 11.2.10-h16, 11.2.13-h4, 11.2.16-h1 |
| PAN-OS 11.1 | 11.1.4-h38, 11.1.6-h40, 11.1.7-h12 (previsto 30 out), 11.1.10-h36, 11.1.13-h16, 11.1.16-h4 |
| PAN-OS 10.2 | 10.2.7-h39 (previsto 30 out), 10.2.10-h42 (previsto 29 out), 10.2.13-h27, 10.2.16-h12, 10.2.18-h13 |
Qualquer compilação anterior ao hotfix indicado para o seu ramo é vulnerável.
O que fazer
- Localize todas as interfaces de gestão PAN-OS e Panorama acessíveis a partir da internet. É a única condição que o coloca na linha de fogo. Restrinja o acesso de gestão a endereços internos de confiança, medida que o próprio fabricante descreve como o principal redutor de risco.
- Atualize para o hotfix corrigido do seu ramo assim que estiver disponível. Tome o prazo de 31 de outubro da CISA como referência razoável, mesmo que não seja uma agência federal.
- Se a sua correção ainda não foi publicada, aplique as mitigações provisórias: encaminhe o tráfego de gestão por uma porta do plano de dados com perfil de gestão, substitua o certificado do tráfego de gestão de entrada, desencripte o tráfego para a interface de gestão para que a firewall o possa inspecionar e ative a prevenção de ameaças nesse tráfego. Os clientes com Frontier Virtual Patching (ATP Plus) em PAN-OS 12.2.4 ou posterior têm cobertura por assinatura (Threat ID 543004) desde 20 de outubro.
- Procure sinais de comprometimento, não apenas exposição. Reveja os registos de acesso do plano de gestão à procura de endereços de origem inesperados, procure ficheiros PHP desconhecidos na raiz web, vigie processos root anómalos e audite o Active Directory em busca de enumerações ou extrações de credenciais com origem no endereço da firewall.
- Atualize o PHP em todo o lado. O PHP2Shell não é específico de firewalls; qualquer aplicação PHP exposta à internet num runtime antigo transporta o mesmo risco de execução remota de código sem autenticação.
As interfaces de gestão expostas são exatamente o tipo de problema que passa despercebido até que um aviso do fabricante obrigue a fazer a pergunta. O nosso serviço de Attack Surface Management mapeia continuamente o que a sua organização expõe à internet, assinala painéis administrativos e portas de gestão de equipamentos no momento em que aparecem e indica quais correm uma versão com uma vulnerabilidade explorada conhecida, para que a pergunta desta semana tenha resposta antes de chegar o próximo aviso.