PHP2Shell este folosit acum împotriva firewall-urilor Palo Alto Networks expuse în internet

Palo Alto Networks a confirmat că cele două vulnerabilități critice PHP2Shell sunt exploatate activ împotriva interfețelor de management PAN-OS accesibile din internet. Remedierea din proiectul PHP a apărut acum doar o săptămână, iar fereastra dintre patch și exploatare s-a închis deja.

Ce s-a întâmplat

Vulnerabilitățile sunt identificate ca CVE-2026-109618 și CVE-2026-109619, ambele cu scor CVSS 9.2. Ele permit unui atacator neautentificat să execute cod arbitrar pe orice sistem care rulează o versiune vulnerabilă de PHP. Proiectul PHP a publicat versiunile corectate (8.5.12, 8.4.27, 8.3.36 și 8.2.35) pe 21 octombrie 2026.

PAN-OS folosește PHP în stiva web de management, iar exact acolo lovesc atacurile. Advisory-ul actualizat al producătorului arată că exploatarea vizează interfața web HTTPS și API-ul XML ale firewall-urilor și aparatelor Panorama al căror serviciu de management este deschis către internet. Nu este nevoie de nicio configurare specială pentru ca un echipament să fie afectat. Planul de date este expus doar dacă un profil de management a fost atașat unei interfețe de trafic.

În zilele dinaintea advisory-ului, un grup de intruziune suspectat a fi legat de China a fost observat combinând PHP2Shell cu Fragnesia (CVE-2026-46300, CVSS 7.8), o vulnerabilitate de escaladare locală a privilegiilor în kernel-ul Linux. Lanțul le-a oferit operatorilor acces root pe aproximativ 25 de servere din Statele Unite, Japonia, Taiwan și Coreea de Sud, inclusiv trei sisteme dintr-un mediu afiliat guvernului american. Serverele compromise rulau software de firewall al unui producător important, iar odată intrați, atacatorii au țintit Active Directory: artefactele recuperate arată extragere de credențiale și enumerare a directorului.

Producătorul de firewall din acele intruziuni nu a fost numit, așa că legătura directă cu campania împotriva Palo Alto Networks rămâne neconfirmată. Momentul și lipsa unor rapoarte similare de la alți producători de securitate de rețea fac însă legătura plauzibilă.

Agenția americană CISA a adăugat CVE-2026-46300 în catalogul Known Exploited Vulnerabilities și a stabilit termenul de remediere 31 octombrie 2026 pentru agențiile federale. CISA precizează că bug-ul din kernel poate fi înlănțuit cu cele două vulnerabilități PHP pentru a planta web shell-uri și a rula comenzi ca root.

De ce contează

Planul de management al unui firewall reprezintă cheia întregii infrastructuri. Un atacator cu acces root pe echipament poate citi și modifica politicile, culege credențiale, intercepta sesiuni VPN și de administrare și pivota direct în rețeaua internă. Activitatea asupra Active Directory observată în intruziunile asociate arată că nu este vorba de un atac oportunist: operatorii folosesc firewall-ul ca punct de intrare.

Condiția de expunere este simplă și frecventă. Orice instalare PAN-OS a cărei interfață de management răspunde la adrese externe arbitrare este o țintă potențială, indiferent de restul configurației.

Versiuni PAN-OS afectate

Build-urile corectate sunt publicate pe fiecare ramură; câteva sunt programate în următoarele două zile.

Orice build mai vechi decât hotfix-ul listat pentru ramura sa este vulnerabil.

Ce trebuie făcut

1. Identificați fiecare interfață de management PAN-OS și Panorama accesibilă din internet. Aceasta este singura condiție care vă pune în linia de tragere. Restricționați accesul de management la adrese interne de încredere, măsura pe care producătorul însuși o descrie drept principalul factor de reducere a riscului.
2. Instalați hotfix-ul corectat pentru ramura dumneavoastră imediat ce este disponibil. Tratați termenul CISA de 31 octombrie ca pe un reper rezonabil chiar dacă nu sunteți o agenție federală.
3. Dacă remedierea încă nu a apărut, aplicați măsurile interimare: direcționați traficul de management printr-un port de date cu profil de management, înlocuiți certificatul pentru traficul de management de intrare, decriptați traficul către interfața de management pentru ca firewall-ul să îl poată inspecta și activați threat prevention pe acel trafic. Clienții cu Frontier Virtual Patching (ATP Plus) pe PAN-OS 12.2.4 sau mai nou au acoperire prin semnătură (Threat ID 543004) încă din 20 octombrie.
4. Căutați semne de compromitere, nu doar expunere. Verificați jurnalele de acces ale planului de management pentru adrese sursă neașteptate, căutați fișiere PHP necunoscute în rădăcina web, urmăriți procese root neobișnuite și auditați Active Directory pentru enumerări sau extrageri de credențiale provenite de la adresa firewall-ului.
5. Actualizați PHP peste tot. PHP2Shell nu este specific firewall-urilor; orice aplicație PHP expusă în internet pe un runtime vechi poartă același risc de execuție de cod fără autentificare.

Interfețele de management expuse sunt exact genul de problemă care trece neobservată până când un advisory al producătorului forțează întrebarea. Serviciul nostru de Attack Surface Management cartografiază continuu ce expune organizația dumneavoastră în internet, semnalează panourile administrative și porturile de management ale echipamentelor în momentul în care apar și vă spune care dintre ele rulează o versiune cu o vulnerabilitate exploatată cunoscută, astfel încât întrebarea din această săptămână să aibă răspuns înainte de următorul advisory.