Aktivna eksploatacija PHP2Shell pogađa PAN-OS upravljanje
Palo Alto Networks upozorio je na aktivnu eksploataciju ranjivosti PHP2Shell, CVE-2026-109618 i CVE-2026-109619, obe ocenjene sa CVSS 9,2, protiv upravljačkih interfejsa dostupnih sa interneta. Propusti omogućavaju neautentifikovano udaljeno izvršavanje koda na sistemima sa pogođenim verzijama PHP-a, a rizik se odnosi na PAN-OS i Panorama kada je upravljački pristup spolja dostupan.
Upravljački interfejs je ključna tačka izloženosti
Palo Alto Networks navodi da nije potrebna posebna konfiguracija da bi uređaj bio pogođen. Najveći rizik postoji kada se pristup PAN-OS upravljačkom interfejsu dozvoljava sa eksternih IP adresa preko interneta.
Problem strogo pogađa upravljački veb interfejs, koji obuhvata HTTPS korisnički interfejs i XML API servis. Data-plane interfejs je pogođen samo kada je na njega vezan profil za upravljanje. To zahteva da organizacije odvojeno provere dostupnost MGT porta, ali i profile dodeljene data-plane interfejsima.
PHP Foundation je 21. oktobra 2026. objavio zakrpe u verzijama PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PAN-OS postoje ispravke kroz više grana izdanja, uključujući 12.2.4-h1, 12.1.4-h13, 11.2.4-h23, 11.1.4-h38 i 10.2.7-h39, uz dodatne navedene verzije za pojedine održavane grane.
Lanac napada može dovesti do privilegija root naloga
Kompanija Dream je prethodno uočila aktera za kog se sumnja da je povezan sa Kinom kako kombinuje PHP2Shell sa lokalnim Linux propustom Fragnesia, CVE-2026-46300, ocenjenim sa CVSS 7,8. U tom slučaju kompromitovano je 25 servera u SAD, Japanu, Tajvanu i Južnoj Koreji, uključujući tri sistema u okruženju povezanom sa američkom vladom.
Pronađeni artefakti ukazali su na izvlačenje kredencijala i enumeraciju direktorijuma u napadima na Active Directory. CISA je CVE-2026-46300 dodala u katalog Known Exploited Vulnerabilities i navela da se može povezati sa oba PHP2Shell propusta radi postavljanja PHP veb školjki i izvršavanja komandi sa root privilegijama. Kontekst kontekst napada na evropski državni organ pokazuje koliko brzo ovakva početna kompromitacija može prerasti u krađu podataka za pristup.
Prioritet su zakrpe, ograničavanje pristupa i provera izloženosti
Za grane PAN-OS za koje zakrpe još nisu dostupne, Palo Alto Networks preporučuje usmeravanje dolaznog saobraćaja za MGT port kroz data-plane port, zamenu sertifikata za upravljanje dolaznim saobraćajem, dešifrovanje tog saobraćaja radi inspekcije i uključivanje zaštite od pretnji za upravljačke servise.
Kupci sa Frontier Virtual Patching uslugom ATP Plus na PAN-OS 12.2.4 i novijim verzijama dobili su pokrivenost kroz Threat ID 543004, objavljen 20. oktobra. Za poslovanje je neposredan zadatak da utvrdi koji su upravljački interfejsi javno dostupni, ograniči ih na pouzdane interne IP adrese, primeni odgovarajuće zakrpe i proveri sisteme na moguće znakove neovlašćenog pristupa.