Palo Alto confirmă existența unor atacuri active de tip PHP2Shell vizând interfețele de administrare PAN-OS expuse
Sursă: https://cybersecuritynews.com
Palo Alto Networks a confirmat că atacatorii exploatează în mod activ vulnerabilitățile PHP2Shell împotriva interfețelor de administrare PAN-OS expuse pe internet. În actualizarea sa din 29 octombrie 2026, Unit 42 a semnalat că a verificat în mod independent instrumentele utilizate de atacatori pentru a combina vulnerabilitățile PHP cu o vulnerabilitate a kernel-ului Linux și a obține acces root.
Vulnerabilitățile, CVE-2026-109618 și CVE-2026-109619, au fiecare un scor CvSS 4.0 de 9.2/10 (critic). Acestea pot permite executarea de cod de la distanță fără autentificare. Palo Alto a afirmat că aproximativ 0,02% din baza sa globală de utilizatori avea interfețe publice de administrare configurate și a fost afectată.
Ambele vulnerabilități implică o gestionare nesigură a memoriei atunci când PHP încetează procesarea unei cereri în urma unei erori. CVE-2026-109618 afectează gestionarea supraîncărcării memoriei prin intermediul funcției longjmp(), o funcție care întrerupe operațiunea curentă. Această întrerupere bruscă poate lăsa datele cererii parțial inițializate. Procedurile de ștergere pot citi sau acționa apoi asupra acestor date nevalide, creând o cale către executarea de cod.
CVE-2026-109619 lasă starea internă partajată să indice spre memoria pe care PHP a eliberat-o deja. O cerere ulterioară gestionată de același procesor poate accesa acele referințe vechi înainte ca configurarea normală să le reseteze. Atacatorii pot folosi această condiție pentru a determina procesul să execute codul lor.
Avizul de securitate al PHP Group identifică ca fiind expuse implementările PHP-FPM, Apache mod_php, php-cgi, FrankenPHP și LiteSpeed. Versiunile remediate sunt PHP 8.2.35, 8.3.36, 8.4.27 și 8.5.12. Unit 42 a contabilizat peste 22,6 milioane de instanțe expuse, potențial vulnerabile la nivel mondial. Această cifră descrie o posibilă expunere a PHP, nu breșe confirmate sau firewall-uri Palo Alto afectate.
Atacatorul a folosit o implementare personalizată a PHP2Shell, care viza serverul web de administrare PAN-OS. Cererile de încărcare malițioase au creat presiune asupra memoriei, au dezvăluit o adresă și au manipulat structurile de memorie pentru a executa comenzi sub drepturile utilizatorului nobody, cu acces restricționat. O vulnerabilitate separată a kernel-ului Linux, denumită Fragnesia și înregistrată ca CVE-2026-46300, a permis apoi accesul cu drepturi de root.
Avizul de securitate emis de Palo Alto limitează aria afectată la interfața HTTPS de administrare și la API-ul XML. Sunt vizate firewall-urile din seriile PA și VM, precum și Panorama. Portalurile GlobalProtect, gateway-urile, VPN-ul fără client și Captive Portal nu sunt afectate de aceste vulnerabilități PHP. O interfață dataplane este expusă numai atunci când este atașat un profil de administrare.
Administratorii ar trebui să elimine imediat accesul public la administrare, să permită doar adresele IP interne de încredere și să instaleze hotfix-ul corespunzător pentru PAN-OS. Opțiunile remediate includ 12.2.4-h1, 12.1.10-h3, 11.2.16-h1, 11.1.16-h4 și 10.2.18-h13, cu remedieri suplimentare pentru alte versiuni de întreținere. Palo Alto afirmă că aceste actualizări remediază atât vulnerabilitățile PHP, cât și întrerup lanțul de atac observat.
Sursă: https://cybersecuritynews.com/palo-alto-php2shell-exploitation/
