Palo Alto Networks предупредила об атаках PHP2Shell на PAN-OS
Palo Alto Networks сообщила об активной эксплуатации уязвимостей PHP2Shell CVE-2026-109618 и CVE-2026-109619 с оценкой CVSS 9,2 против доступных из интернета интерфейсов управления своих продуктов. Ошибки позволяют выполнить код удалённо без аутентификации на затронутых версиях PHP; для PAN-OS наибольший риск возникает, когда доступ к интерфейсу управления разрешён с внешних IP-адресов.
Какие интерфейсы и версии затронуты
Проблема относится к веб-интерфейсу управления: HTTPS UI и сервису XML API. Интерфейс dataplane затрагивается только в случае, если к нему привязан профиль управления. Palo Alto Networks подчеркнула, что для возникновения риска не требуется специальная конфигурация.
Исправления для PHP Foundation выпустила 21 октября 2026 года в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. В PAN-OS исправленные версии включают 12.2.4-h1, 12.1.4-h13, 12.1.7-h11, 12.1.10-h3, а также ряд веток 11.2, 11.1 и 10.2 с указанными hotfix-сборками.
Для части веток на момент уведомления исправленные сборки ещё ожидались. Среди них Palo Alto Networks указывала PAN-OS 12.1.4-h13, 12.1.10-h3, 11.2.4-h23, 11.1.7-h12, 10.2.7-h39 и 10.2.10-h42 с датами доступности 29–30 октября.
Связь с атаками на Linux и Active Directory
Компания Dream ранее наблюдала предполагаемого злоумышленника, связанного с Китаем, который применял PHP2Shell вместе с локальной уязвимостью повышения привилегий в ядре Linux Fragnesia, CVE-2026-46300, с CVSS 7,8. По сведениям Dream, цепочка позволила получить root-доступ к 25 серверам в США, Японии, Тайване и Южной Корее, включая три системы в среде, связанной с правительством США.
После компрометации атакующий запускал атаки на Active Directory. Извлечённые артефакты подтверждали получение учётных данных и перечисление объектов каталога. Контекст таких последствий дополняет Атака PHP2Shell на госорган Европы и показывает, почему инцидент с внешним интерфейсом управления нельзя ограничивать только обновлением устройства.
CISA внесло CVE-2026-46300 в каталог Known Exploited Vulnerabilities и потребовало от федеральных ведомств США устранить проблему до 31 октября 2026 года. Агентство предупредило, что эту уязвимость можно объединить с двумя CVE PHP2Shell для установки PHP web shell и выполнения команд с правами root.
Что рекомендует вендор
Если обновление для используемой ветки ещё недоступно, Palo Alto Networks рекомендует направить входящий трафик к порту MGT через порт DP, заменить сертификат входящего трафика управления, расшифровывать этот трафик для инспекции и включить предотвращение угроз для сервисов управления.
Клиенты с Frontier Virtual Patching в составе ATP Plus на PAN-OS 12.2.4 и новее получили защитное покрытие через Threat ID 543004, опубликованный 20 октября. Практический вывод для организаций: ограничить доступ к интерфейсу управления доверенными внутренними IP-адресами, установить подходящий hotfix и проверить признаки выполнения команд, веб-оболочек и действий с Active Directory.