Palo Alto Networks avertizează că atacatori exploatează activ vulnerabilitățile PHP2Shell împotriva interfețelor sale de administrare accesibile public pe internet. Cele două breșe permit execuție de cod de la distanță fără autentificare, iar expunerea poate transforma echipamentul de rețea într-un punct de intrare către sisteme interne și directoare corporative.
Vulnerabilitățile PHP ajung la interfețele de administrare
Problemele sunt urmărite ca CVE-2026-109618 și CVE-2026-109619, ambele cu scor CVSS 9.2. PHP Foundation le-a remediat upstream pe 21 octombrie 2026, în versiunile PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35; avertismentul Palo Alto confirmă că atacatorii vizează interfețe de management expuse.
Compania precizează că nu este necesară o configurare specială pentru ca sistemele să fie afectate. Riscul este cel mai ridicat când interfața de administrare PAN-OS acceptă conexiuni din adrese IP externe; problema privește interfața web HTTPS și serviciul XML API, iar interfața dataplane este afectată numai dacă are atașat un profil de management.
Sursă foto: blogger.googleusercontent.com
Un lanț de exploatare a ajuns la privilegii root
Avertismentul vine la câteva zile după ce compania israeliană de securitate Dream a descris o campanie atribuită unui actor despre care suspectează că are legături cu China. Acesta ar fi combinat vulnerabilitățile PHP2Shell cu Fragnesia, o breșă de escaladare locală a privilegiilor din nucleul Linux, identificată drept CVE-2026-46300 și evaluată la CVSS 7.8.
Potrivit Dream, atacatorii au obținut acces root pe 25 de servere din Statele Unite, Japonia, Taiwan și Coreea de Sud, inclusiv pe trei sisteme dintr-un mediu asociat guvernului american. „Dispozitivele afectate rulează versiuni specifice ale software-ului firewall al unui furnizor important”, a transmis compania, care a observat apoi atacuri asupra Active Directory, extragere de credențiale și enumerarea directorului.
Dream nu a numit furnizorul firewall-ului. The Hacker News a remarcat că momentul avertismentului Palo Alto și lipsa unor raportări similare din partea altor companii de securitate de rețea sugerează o posibilă legătură, dar aceasta nu este confirmată public; publicația a solicitat comentarii ambelor companii.
CISA impune un termen pentru remedierea Fragnesia
CISA a adăugat CVE-2026-46300 în catalogul Known Exploited Vulnerabilities (KEV) și a cerut agențiilor federale americane să remedieze vulnerabilitatea până la 31 octombrie 2026. Agenția avertizează că aceasta poate fi combinată cu CVE-2026-109618 și CVE-2026-109619 pentru instalarea de web shell-uri PHP și executarea comenzilor cu privilegii root.
Pentru PAN-OS, versiunile afectate și pragurile de remediere diferă în funcție de ramură. Sunt vizate 12.2 înainte de 12.2.4-h1; 12.1 înainte de 12.1.4-h13, 12.1.7-h11 și 12.1.10-h3; 11.2 înainte de 11.2.4-h23, 11.2.7-h23, 11.2.10-h16, 11.2.13-h4 și 11.2.16-h1.
Lista continuă cu PAN-OS 11.1, afectat înainte de 11.1.4-h38, 11.1.6-h40, 11.1.7-h12, 11.1.10-h36, 11.1.13-h16 și 11.1.16-h4; precum și 10.2, înainte de 10.2.7-h39, 10.2.10-h42, 10.2.13-h27, 10.2.16-h12 și 10.2.18-h13. Versiunile egale sau superioare acestor praguri sunt cele indicate drept remediate.
Ce trebuie să facă administratorii din România și UE
La data avertismentului, unele remedieri aveau termene estimate de publicare: 12.1.4-h13 și 10.2.10-h42 pentru 29 octombrie, iar 12.1.10-h3, 11.2.4-h23, 11.1.7-h12 și 10.2.7-h39 pentru 30 octombrie. Administratorii trebuie să verifice buletinul furnizorului pentru disponibilitatea efectivă a patch-urilor și să aplice versiunea corectă ramurii instalate.
Dacă remedierea nu este încă disponibilă, Palo Alto recomandă rutarea traficului către portul MGT printr-un port dataplane, de exemplu prin activarea unui profil de management pe interfața DP. Măsurile temporare includ înlocuirea certificatului pentru Inbound Traffic Management, decriptarea traficului de intrare către interfața de management pentru inspecție și activarea Threat Prevention asupra traficului către serviciile de administrare.
Compania spune că utilizatorii PAN-OS 12.2.4 și versiunile ulterioare care au Frontier Virtual Patching (ATP Plus) au beneficiat anticipat de protecție, prin Threat ID 543004, publicat la 20 octombrie, ora 22:21 PT. Recomandarea esențială pentru organizațiile din România și UE rămâne însă eliminarea accesului public: interfața de management și Panorama ar trebui accesibile numai de la adrese IP interne de încredere.
Pentru echipele de securitate, incidentul justifică verificarea imediată a expunerii interfețelor, aplicarea patch-urilor și investigarea semnelor de acces neautorizat, inclusiv a activităților neobișnuite asupra Active Directory. Într-un lanț care poate ajunge de la execuție fără autentificare la privilegii root, limitarea accesului la planul de management reduce direct suprafața de atac.
