PHP2Shell e Fragnesia: root sui firewall PAN-OS in 15 minuti

📌 Sviluppi successivi: PHP2Shell su PAN-OS: correzioni per cinque rami e Panorama (29 ottobre 2026)

Le vulnerabilità PHP2Shell (CVE-2026-109618 e CVE-2026-109619), unite a Fragnesia (CVE-2026-46300), falla del kernel Linux per l’elevazione dei privilegi, sono state usate per ottenere root su 25 sistemi esposti su Internet, in gran parte firewall, negli Stati Uniti, in Giappone, a Taiwan e in Corea del Sud. Lo documenta la società di sicurezza Dream, che collega l’operazione alla Cina. Il 28 ottobre 2026 la CISA ha inserito Fragnesia nel catalogo KEV, precisando che può essere concatenata alle due CVE di PHP «per installare web shell PHP ed eseguire comandi come root».

CVE di PHP, versioni corrette e prime shell su honeypot sono nei nostri articoli precedenti, la CVE-2026-46300 in quello del 28 ottobre. Di seguito le novità.

Cosa ha ricostruito Dream

Secondo The Record, The Register e SecurityWeek, Dream ha recuperato un’implementazione di PHP2Shell non pubblica, scritta per la piattaforma del firewall, profili per singole versioni, elenchi di bersagli, registri di sfruttamento e circa 40 script per le fasi successive.

• Con il motore di ricerca cinese FOFA gli attaccanti hanno individuato circa 19.000 firewall esposti, poi filtrati per paese e per profilo dell’exploit fino a 240 bersagli.
• Gli attacchi, automatizzati, sono avvenuti soprattutto il 23 e il 24 ottobre.
• I numeri divergono: SecurityWeek parla di 25 firewall violati e di una web shell di root su 24, The Record di 24 firewall compromessi. Su 22 gli attaccanti hanno solo lasciato la web shell.

Dream non ha nominato il produttore. Secondo The Register si tratta di PAN-OS e Unit 42 di Palo Alto Networks ha verificato gli strumenti e confermato i risultati. Help Net Security riporta che il 29 ottobre Palo Alto Networks ha aggiornato il suo avviso su PHP2Shell: sfruttamento attivo osservato contro l’interfaccia di gestione esposta su Internet.

La catena tecnica

Secondo The Register, i bersagli erano PAN-OS 12.1 e 12.2, che usano PHP 8.0.30 con un limite di memoria alto, condizione che rende possibile la corruzione della memoria. I passi:

1. una raffica di POST multipart costruiti ad arte corrompe la memoria e la rende prevedibile;
2. una seconda richiesta falsifica la lunghezza di un ID di sessione non più valido e, con una lettura fuori dai limiti, rivela l’indirizzo base di libphp.so;
3. un nuovo esaurimento della memoria forza mod_data=NULL e lascia un riferimento non più valido;
4. quel riferimento, falsificato, esegue comandi come utente nobody.

Poi Fragnesia, difetto logico del sottosistema XFRM ESP-in-TCP, classe Dirty Frag, con PoC pubblico per i kernel delle principali distribuzioni rilasciati prima del 13 maggio 2026 (BleepingComputer), dà root e permette di piazzare una web shell in una cartella pubblica del firewall; i registri mostrano la verifica con id (The Record). Dalla connessione HTTPS senza credenziali alla web shell persistente passano meno di 15 minuti. L’exploit non deriva da quelli pubblici: è stato sviluppato in modo indipendente.

Aaron Beardslee di Securonix, citato da CSO Online, nota che Fragnesia scrive nella page cache e non sul disco: i controlli di integrità dei file non lo vedono e un riavvio cancella le tracce.

Dopo il firewall: rete interna e Active Directory

Due firewall appartenevano a un ambiente affiliato al governo statunitense. Il primo, violato il 23 ottobre, si è bloccato poco dopo e non è più tornato raggiungibile; il secondo è stato violato il 24. Da lì, secondo Dream:

• un tunnel SSH inverso ha aperto la rete interna, dove la stessa catena ha compromesso il server di gestione dei firewall, con configurazioni e credenziali di tutti gli apparati;
• con la chiave principale gli attaccanti hanno decifrato la password dell’account di servizio LDAP;
• hanno elencato utenti e gruppi del dominio, fatto password spraying, tentato di creare account di backdoor in Active Directory e di estrarre la chiave di firma SAML.

Gli esiti di questi tentativi non sono noti, perché restavano sul server di gestione. Dream ritiene il tunnel probabilmente ancora attivo. Le fonti non pubblicano indicatori di compromissione.

Attribuzione e strumenti di IA

Dream non indica un gruppo preciso: parla di operazione legata alla Cina per lingua, strumenti, modelli di IA e paesi scelti. Sono stati trovati Claude Code, una piattaforma di attacco con IA configurata con DeepSeek e Kimi e chiavi API di FOFA, ma non era un attacco del tutto autonomo. Beardslee definisce l’attribuzione «apertamente contestata». Kevin Beaumont, citato solo da Help Net Security, dice di sapere anche di un gruppo ransomware che usa PHP2Shell contro i firewall Palo Alto.

Tecniche MITRE ATT&CK: T1190 (Exploit Public-Facing Application), T1068 (Exploitation for Privilege Escalation), T1505.003 (Web Shell), T1572 (Protocol Tunneling), T1110.003 (Password Spraying), T1136.002 (Create Account: Domain Account).

Impatto per le aziende europee e italiane

Le vittime note sono fuori dall’Europa, ma secondo Dream gli attaccanti conservano l’elenco dei 19.000 firewall e possono tornarci con profili per altre versioni di PAN-OS. Il PHP dentro un apparato, qui un ramo 8.0 fuori dal supporto ufficiale, si corregge solo con l’aggiornamento del produttore: vale anche per altri apparati con PAN-OS, come il Siemens RUGGEDCOM APE1808 citato il 21 ottobre. Per i soggetti NIS2 e per la sanità, firewall e server di gestione sono sistemi critici e una compromissione va valutata ai fini della notifica al CSIRT Italia. Secondo Cybersecurity360, il CERT-AGID contava il 26 ottobre 467 indirizzi della PA con versioni di PHP dichiarate potenzialmente vulnerabili.

Cosa fare subito

1. Interfaccia di gestione: toglila da Internet e segui l’avviso di Palo Alto Networks su PHP2Shell per gli aggiornamenti di PAN-OS.
2. Kernel: aggiorna per CVE-2026-46300 e riavvia; secondo Beardslee la correzione non è nelle patch di Dirty Frag. Dove nessun servizio termina IPsec, valuta di scaricare esp4 ed esp6, sapendo che può interrompere le VPN.
3. PHP: aggiorna a 8.2.35, 8.3.36, 8.4.27 o 8.5.12, o alle build dei fornitori, e riavvia i worker.
4. Prima la memoria: su un sistema sospetto acquisiscila prima di riavviare.
5. Cerca le tracce: file PHP nuovi nelle cartelle web, raffiche di POST multipart verso l’interfaccia di gestione, crash dei firewall, tunnel SSH in uscita, nuovi account di dominio.
6. Identità: allerta sui bind LDAP da host che non dovrebbero avere credenziali di directory (Beardslee) e cambia la password dell’account di servizio LDAP e le credenziali gestite dai firewall compromessi.

Come aiuta ARXDOME

ARX Expose mostra quali servizi pubblici della tua azienda espongono prodotti riconosciuti. ARX Sentry raccoglie i log dei firewall, con pagine dedicate allo stato del firmware; sui server Linux con l’agent elenca sistema, software e processi, e le pagine sulle identità mostrano raffiche di tentativi di accesso e modifiche agli account. ARX Shield mostra le vulnerabilità aperte per macchina, con in evidenza quelle già sfruttate.

Ultimo aggiornamento: 30 ottobre 2026