# PHP2Shell: hackeri legați de China obțin acces root pe firewall-uri Palo Alto

URL: https://cyberjurnal.ro/articol/php2shell-hackeri-legati-de-china-obtin-acces-root-pe-firewall-uri-palo-alto
Autor: Oprican Marius Edward
Publicat: 2026-10-31T10:21:25.416Z
Actualizat: 2026-10-31T10:21:25.432Z

O campanie exploatează vulnerabilitățile PHP2Shell și o problemă de escaladare a privilegiilor din kernelul Linux pentru a compromite firewall-uri Palo Alto Networks. În paralel, milioane de instanțe PHP sunt expuse, însă până acum atacurile asupra site-urilor WordPress nu au produs compromiteri confirmate.

Un grup de hackeri asociat Chinei a exploatat vulnerabilitățile PHP2Shell pentru a obține acces root pe firewall-uri Palo Alto Networks, combinând defectele cu o problemă de escaladare a privilegiilor din kernelul Linux. Atacurile au fost observate după mai bine de o săptămână de scanări și tentative împotriva serverelor vulnerabile, însă compromiterile confirmate rămân puține față de amploarea activității.

Campania arată diferența dintre zgomotul produs de exploatarea în masă și riscul real al unui atac adaptat unei anumite platforme. În cazul firewall-urilor, atacatorii au legat două exploituri distincte: unul pentru vulnerabilitățile PHP2Shell de pe dispozitivele PAN-OS și altul pentru Fragnesia, folosit pentru a obține privilegii root și a instala webshell-uri.

### Exploiturile au transformat o vulnerabilitate PHP într-un acces root

Compania de securitate Dream a semnalat campania la începutul săptămânii, raportând că cel puțin 25 de firewall-uri fuseseră compromise dintr-un grup de sute de dispozitive analizate. Palo Alto Networks a confirmat ulterior că Unit 42, echipa sa de cercetare și răspuns la incidente, a verificat independent instrumentele folosite de atacator și rezultatele raportate.

„Dream Research a raportat o campanie în care atacatorii au combinat PHP2Shell cu o vulnerabilitate de escaladare a privilegiilor din kernelul Linux pentru a obține acces root. Unit 42 a verificat independent instrumentele aceluiași atacator și a confirmat rezultatele raportate”, a transmis compania.

Atacatorii au folosit instrumente dezvoltate cu ajutorul inteligenței artificiale pentru a lega două vulnerabilități PHP2Shell, CVE-2026-109618 și CVE-2026-109619, de bugul Fragnesia. Potrivit informațiilor publicate, primul exploit viza dispozitivele PAN-OS, iar al doilea facilita instalarea unor webshell-uri cu privilegii root; sursa nu descrie în detaliu pașii tehnici ai fiecărei etape.

![Firewall Palo Alto Networks vizat de campania PHP2Shell](/uploads/2026/10/ed104f7f80a8225c380dd45f.webp)Palo Alto a publicat actualizări care remediază vulnerabilitățile PHP2Shell în PAN-OS 12.2, 12.1, 11.2, 11.1 și 10.2. Remedierile acoperă firewall-urile PA-Series și VM-Series, precum și platforma Panorama, atât în versiunea virtuală, cât și în cea M-Series.

Compania precizează că nu este necesară o configurare specială pentru ca un sistem să fie vulnerabil, iar exploatarea activă observată vizează interfețele de management expuse internetului. În configurația implicită, aceste interfețe nu sunt accesibile din internet, dar administratorii trebuie să verifice situația reală a propriilor echipamente, nu să se bazeze doar pe setările inițiale.

### Interfața de management expusă a devenit punctul critic

Palo Alto recomandă restricționarea imediată a accesului la interfața de management și instalarea versiunilor corectate. Recomandarea este relevantă chiar și pentru organizațiile care nu au observat semne de compromitere: o interfață publică mărește suprafața de atac și poate permite actorilor să testeze rapid vulnerabilitățile, înainte ca echipa de securitate să identifice activitatea.

Compania a declarat că aproximativ 0,02% din baza sa globală instalată avea interfețe de management accesibile din internet și a fost afectată. Potrivit Palo Alto, fiecare dintre clienții identificați a fost contactat individual, iar investigația continuă; compania a spus că va furniza actualizări dacă apar informații noi.

Cifra redusă raportată de producător nu anulează gravitatea accesului root obținut pe dispozitivele compromise. Firewall-urile sunt echipamente de margine, poziționate între rețele și traficul extern, iar accesul privilegiat asupra lor poate avea consecințe importante; materialul publicat nu stabilește însă că atacatorii au folosit fiecare sistem compromis pentru operațiuni ulterioare.

![Interfața de management expusă a devenit punctul critic
Palo Alto recomandă restricționarea imediată a accesului la interfața de management și instalarea versiunilor corectate. Recomandarea este relevantă chiar și pentru organizațiile care nu au observat semne de compromitere: o interfață publică mărește suprafața de atac și poate permite actorilor să testeze rapid vulnerabilitățile, înainte ca echipa de securitate să identifice activitatea.
Compania a declarat că aproximativ 0,02% din baza sa globală instalată avea interfețe de management accesibile din internet și a fost afectată. Potrivit Palo Alto, fiecare dintre clienții identificați a fost contactat individual, iar investigația continuă; compania a spus că va furniza actualizări dacă apar informații noi.
Cifra redusă raportată de producător nu anulează gravitatea accesului root obținut pe dispozitivele compromise. Firewall-urile sunt echipamente de margine, poziționate între rețele și traficul extern, iar accesul privilegiat asupra lor poate avea consecințe importante; materialul publicat nu stabilește însă că atacatorii au folosit fiecare sistem compromis pentru operațiuni ulterioare.](/uploads/2026/10/aef0ca159ca331e169649ab0.png "Ilustrație generată cu AI")*Sursă foto: AI*

### Peste 22 de milioane de instanțe PHP apar în telemetrie

Palo Alto a identificat, până la 29 octombrie, peste 22,6 milioane de instanțe PHP expuse și potențial vulnerabile la problemele PHP2Shell. Numărul reflectă utilizarea largă a PHP pe servere și în sisteme de administrare a conținutului precum WordPress, Drupal și Joomla, dar nu înseamnă că toate aceste instanțe au fost compromise sau că sunt configurate identic.

Tentativele de exploatare au vizat și site-uri WordPress, însă bilanțul disponibil pentru această platformă nu indică, deocamdată, compromiteri confirmate. Defiant, compania de securitate care dezvoltă Wordfence, a declarat că până la 28 octombrie nu avea cunoștință de niciun site WordPress compromis prin exploatarea PHP2Shell, deși înregistrase peste 77.000 de solicitări asociate, provenite de la mai mult de 2.000 de adrese IP.

Volumul cererilor nu trebuie confundat cu numărul atacurilor reușite. Testele Defiant au arătat că exploituri de acest tip necesită adesea ajustări pentru serverul vizat, iar rezultatul poate depinde de ASLR, de compilarea PHP, de extensiile instalate, de limitele de memorie și de modul în care serverul procesează solicitările.

Aceste diferențe tehnice ajută la explicarea contrastului dintre scanările numeroase și numărul redus de compromiteri confirmate. Un payload care funcționează într-un mediu de testare poate eșua pe o altă configurație, iar atacatorii trebuie să-și adapteze instrumentele pentru a obține o exploatare fiabilă, în special atunci când țintesc servicii expuse pe internet.

Defiant avertizează totuși că o exploatare reușită ar putea oferi acces la fișierele site-ului, la baza de date și la parole. Compania recomandă actualizarea PHP, o măsură care reduce riscul asociat vulnerabilităților, chiar dacă actualizarea aplicației sau a CMS-ului nu este singura verificare necesară pentru administratorii serverelor expuse.

### Puține adrese IP au generat o mare parte din atacuri

Datele Cato Networks indică faptul că aproximativ 96% dintre atacurile blocate de companie au vizat CVE-2026-109618. Dintre acestea, 41% au încercat execuția de cod de la distanță (RCE), în timp ce restul au fost scanări sau încercări nevalide de tip proof-of-concept (PoC), care nu demonstrau neapărat o exploatare funcțională.

Solicitările au provenit de la un număr restrâns de adrese IP din Statele Unite, Țările de Jos și Germania. Acestea au repetat cereri de tip PoC, orientate în principal spre executarea de comenzi, urmată de încercări de deserializare; datele descriu tipurile de solicitări observate, nu confirmă că toate au dus la acces neautorizat.

Organizațiile din domeniul sănătății au fost vizate cel mai des în telemetria Cato, urmate de companii din tehnologie și servicii de securitate, servicii profesionale, industria auto, educație și organizații non-profit. Au apărut, de asemenea, tentative asupra firmelor din producție, construcții și retail.

Distribuția sectoarelor nu indică neapărat o campanie construită pentru o anumită industrie. Cato a observat aceeași sursă trimițând solicitări către organizații din sănătate, tehnologie și software în aceeași zi, un indiciu că activitatea a fost oportunistă, nu o succesiune de atacuri personalizate împotriva unor ținte alese individual.

WatchTowr a identificat exploatări PHP2Shell reușite provenite de la o singură adresă IP din Germania, în pofida volumului mare de tentative și a varietății payload-urilor. În fiecare caz observat, comanda executată a fost un simplu apel `curl`, folosit pentru a demonstra că exploatarea a reușit; după acest test nu a fost detectată activitate post-exploatare suplimentară.

Jake Knott, șeful departamentului de informații despre amenințări al WatchTowr, a spus că atacatorii continuă să-și modifice instrumentele. Tehnici noi, payload-uri inventive și exploituri mai bine adaptate echipamentelor specifice apar în paralel cu dezvoltarea unor metode mai fiabile, a avertizat el.

Knott estimează că vor crește relatările publice despre exploatări reușite, direcționate către anumite echipamente de margine. Pentru moment, însă, observațiile disponibile arată atât o presiune largă asupra sistemelor PHP, cât și o campanie mai restrânsă, cu impact confirmat asupra unor firewall-uri Palo Alto expuse.

Pentru administratori, prioritățile imediate sunt instalarea remedierilor Palo Alto aplicabile versiunii folosite, restricționarea accesului la interfața de management și actualizarea PHP pe serverele expuse. Echipele de securitate ar trebui să verifice și activitatea neobișnuită asociată cererilor de exploatare, fără a trata simpla prezență a unei solicitări PoC drept dovadă automată a compromiterii.

Sursă: SecurityWeek — https://www.securityweek.com/php2shell-attacks-root-palo-alto-firewalls-but-fail-against-wordpress/