PHP2Shell su PAN-OS: correzioni per cinque rami e Panorama

Palo Alto Networks ha pubblicato le correzioni per le vulnerabilità PHP2Shell (CVE-2026-109618 e CVE-2026-109619) nei firewall e in Panorama, e ha precisato che lo sfruttamento osservato riguarda le interfacce di gestione esposte su Internet. Lo riporta SecurityWeek, che fa anche il punto sull’ondata di attacchi contro PHP: moltissimi tentativi, pochissimi successi confermati. Il CERT-IS islandese ha invitato ad aggiornare al più presto e a limitare l’accesso all’interfaccia di gestione.

La catena con Fragnesia che ha portato a root su firewall PAN-OS 12.1 e 12.2 è nel nostro articolo del 28 ottobre; CVE, versioni corrette di PHP e inserimento nel catalogo KEV sono negli articoli precedenti. Di seguito le novità.

L’avviso di Palo Alto Networks

Secondo SecurityWeek, le correzioni coprono:

• PAN-OS 12.2, 12.1, 11.2, 11.1 e 10.2 per i firewall PA-Series e VM-Series;
• Panorama, sia virtuale sia M-Series.

Le fonti non riportano i numeri delle singole versioni corrette: vanno letti nell’avviso del produttore, pubblicato con l’identificativo CVE-2026-109618 (è tra i riferimenti del CERT-IS).

Nell’avviso, citato da SecurityWeek, Palo Alto Networks scrive che non serve una configurazione particolare per essere colpiti e che lo sfruttamento attivo è stato osservato contro l’interfaccia di gestione esposta su Internet. Di default l’interfaccia non lo è. Il produttore stima che solo una piccolissima parte della base installata, circa lo 0,02%, abbia l’interfaccia di gestione raggiungibile da Internet e sia stata colpita, e dice di aver contattato uno per uno questi clienti.

Il CERT-IS aggiunge che la falla può essere sfruttata solo da chi raggiunge l’interfaccia di gestione del dispositivo. Chiede di limitarne il più possibile l’accesso e di aggiornare appena possibile; chi non può farlo deve seguire le indicazioni del produttore riportate nell’avviso.

In pratica il rischio cambia molto da un firewall all’altro: un’interfaccia di gestione raggiungibile solo da una rete dedicata è alla portata di chi è già dentro la rete, mentre una esposta su Internet è il bersaglio delle compromissioni documentate finora.

Lo sfruttamento di massa: molti tentativi, pochi successi

Sempre secondo SecurityWeek, al 29 ottobre la telemetria di Palo Alto Networks contava oltre 22,6 milioni di istanze PHP esposte e potenzialmente vulnerabili. Per gli altri bersagli, i dati raccolti dalla testata indicano che lo sfruttamento riuscito resta raro:

• WordPress: Defiant, società di sicurezza web, al 28 ottobre non conosceva siti compromessi tramite PHP2Shell, a fronte di oltre 77.000 richieste da più di 2.000 indirizzi IP. Nelle sue prove gli exploit vanno adattati al singolo server: contano ASLR, build di PHP, estensioni caricate, limiti di memoria e gestione delle richieste. Defiant avverte che gli attaccanti stanno ancora affinando gli strumenti.
• Cato Networks: circa il 96% degli attacchi bloccati puntava a CVE-2026-109618 e il 41% tentava l’esecuzione di codice; il resto erano scansioni o PoC non validi. Le richieste venivano da pochi indirizzi IP negli Stati Uniti, nei Paesi Bassi e in Germania: soprattutto tentativi di esecuzione di comandi e, in seconda battuta, di deserializzazione. Il settore più colpito è la sanità, seguita da tecnologia e servizi di sicurezza, servizi professionali, automotive, istruzione e non profit, manifattura, edilizia e commercio. Secondo Cato gli attacchi erano opportunistici: la stessa sorgente colpiva settori diversi nello stesso giorno.
• watchTowr: ha osservato sfruttamenti riusciti da un solo indirizzo IP in Germania, che ogni volta esegue un semplice comando curl per dimostrare l’esecuzione e si ferma lì, senza altre attività. Jake Knott, responsabile della threat intelligence, prevede exploit più affidabili e specifici per i singoli apparati, e quindi più casi di sfruttamento mirato contro i dispositivi di perimetro.

Le fonti non pubblicano gli indirizzi IP: non ci sono indicatori di compromissione utilizzabili.

Tecniche MITRE ATT&CK: T1190 (Exploit Public-Facing Application) e, per la parte di ricognizione, T1595 (Active Scanning).

Impatto per le aziende europee e italiane

Due elementi riguardano da vicino l’Europa. Parte del traffico d’attacco visto da Cato e l’unico sfruttatore riuscito osservato da watchTowr usano indirizzi in Germania e nei Paesi Bassi, che però non dicono nulla sull’identità degli attaccanti. E la sanità è il settore più bersagliato.

Per ospedali e strutture sanitarie, e per tutti i soggetti NIS2, un’interfaccia di gestione del firewall raggiungibile da Internet è un’esposizione da chiudere e da documentare; se un dispositivo risulta compromesso, l’incidente va valutato ai fini della notifica al CSIRT Italia. Il contatto diretto di Palo Alto Networks con i clienti colpiti non sostituisce una verifica propria. Vale anche per gli apparati di terzi basati su PAN-OS, come il Siemens RUGGEDCOM APE1808 citato il 21 ottobre.

Cosa fare subito

1. Interfaccia di gestione: verifica dall’esterno che quella dei firewall e di Panorama non sia raggiungibile da Internet; consentila solo da una rete di gestione o da indirizzi interni fidati, controllando anche i profili di gestione assegnati alle interfacce dati.
2. Aggiorna PAN-OS e Panorama alla versione corretta del tuo ramo indicata nell’avviso di Palo Alto Networks; se non puoi farlo subito, applica le misure alternative dell’avviso, come chiede il CERT-IS.
3. Se l’interfaccia era esposta, tratta il dispositivo come da verificare: acquisisci la memoria prima di riavviare, cerca file PHP nuovi nelle cartelle web, tunnel SSH in uscita e accessi anomali al server di gestione, come descritto nel nostro articolo del 28 ottobre.
4. Server PHP: aggiorna anche dove non risultano attacchi riusciti, come raccomanda Defiant per WordPress: gli exploit vengono adattati di continuo.
5. Rilevamento: cerca processi PHP o del server web che lanciano curl verso indirizzi esterni (lo schema visto da watchTowr), raffiche di POST multipart e crash dei worker PHP.
6. Sanità: dai priorità ai sistemi esposti di ospedali, laboratori e fornitori di servizi sanitari, il settore più bersagliato secondo Cato.

Come aiuta ARXDOME

ARX Expose mostra quali servizi pubblici della tua azienda espongono prodotti riconosciuti e ARX Scout verifica in prima persona porte e servizi davvero aperti: insieme aiutano a scoprire un’interfaccia di gestione raggiungibile da Internet. ARX Sentry raccoglie i log dei firewall, con pagine dedicate allo stato del firmware, e ARX Radar riconosce nel traffico in arrivo le scansioni e le sorgenti che colpiscono più aziende. ARX Shield mostra le vulnerabilità aperte per macchina, con in evidenza quelle già sfruttate.

Ultimo aggiornamento: 1 novembre 2026