PHP2Shell și Fragnesia: root pe firewall-uri PAN-OS în 15 minute

📌 Evoluții ulterioare: PHP2Shell în PAN-OS: corecții pentru cinci ramuri și Panorama (29 octombrie 2026)

Vulnerabilitățile PHP2Shell (CVE-2026-109618 și CVE-2026-109619), combinate cu Fragnesia (CVE-2026-46300), o vulnerabilitate a kernelului Linux pentru escaladarea privilegiilor, au fost folosite pentru a obține root pe 25 de sisteme expuse pe Internet, în mare parte firewall-uri, în Statele Unite, Japonia, Taiwan și Coreea de Sud. Operațiunea a fost documentată de compania de securitate Dream, care o leagă de China. Pe 28 octombrie 2026, CISA a adăugat Fragnesia în catalogul KEV, precizând că poate fi înlănțuită cu cele două CVE din PHP „pentru a instala web shell-uri PHP și a rula comenzi ca root”.

CVE-urile din PHP, versiunile corectate și primele shell-uri pe honeypot-uri sunt în articolele noastre anterioare, iar CVE-2026-46300 în cel din 28 octombrie. În continuare, noutățile.

Ce a reconstituit Dream

Potrivit The Record, The Register și SecurityWeek, Dream a recuperat o implementare nepublică a PHP2Shell, scrisă pentru platforma firewall-ului, profiluri pentru fiecare versiune, liste de ținte, jurnale de exploatare și circa 40 de scripturi pentru etapele următoare.

• Cu motorul de căutare chinezesc FOFA, atacatorii au identificat circa 19.000 de firewall-uri expuse, filtrate apoi după țară și după profilul exploit-ului până la 240 de ținte.
• Atacurile, automatizate, au avut loc mai ales pe 23 și 24 octombrie.
• Cifrele diferă: SecurityWeek vorbește de 25 de firewall-uri compromise și de un web shell de root pe 24, The Record de 24 de firewall-uri compromise. Pe 22 dintre ele atacatorii au lăsat doar web shell-ul.

Dream nu a numit producătorul. Potrivit The Register este vorba de PAN-OS, iar Unit 42 de la Palo Alto Networks a verificat instrumentele și a confirmat rezultatele. Help Net Security relatează că pe 29 octombrie Palo Alto Networks și-a actualizat avizul despre PHP2Shell: a fost observată exploatare activă împotriva interfeței de administrare expuse pe Internet.

Lanțul tehnic

Potrivit The Register, țintele erau PAN-OS 12.1 și 12.2, care folosesc PHP 8.0.30 cu o limită de memorie ridicată, condiție care face posibilă coruperea memoriei. Pașii:

1. o rafală de cereri POST multipart construite special corupe memoria și îi face aranjamentul previzibil;
2. o a doua cerere falsifică lungimea unui ID de sesiune expirat și, printr-o citire în afara limitelor, dezvăluie adresa de bază a libphp.so;
3. o nouă epuizare a memoriei forțează mod_data=NULL și lasă o referință expirată;
4. acea referință, falsificată, execută comenzi ca utilizatorul nobody.

Apoi Fragnesia, o eroare logică în subsistemul XFRM ESP-in-TCP, din clasa Dirty Frag, cu PoC public pentru kernelurile principalelor distribuții lansate înainte de 13 mai 2026 (BleepingComputer), oferă root și permite plasarea unui web shell într-un director public al firewall-ului; jurnalele arată verificarea cu id (The Record). De la conexiunea HTTPS fără credențiale până la web shell-ul persistent trec mai puțin de 15 minute. Exploit-ul nu derivă din cele publice: a fost dezvoltat independent.

Aaron Beardslee de la Securonix, citat de CSO Online, observă că Fragnesia scrie în page cache, nu pe disc: verificările de integritate a fișierelor nu îl văd, iar o repornire șterge urmele.

Dincolo de firewall: rețeaua internă și Active Directory

Două firewall-uri aparțineau unui mediu afiliat guvernului SUA. Primul, compromis pe 23 octombrie, s-a blocat la scurt timp și nu a mai revenit; al doilea a fost compromis pe 24. De acolo, potrivit Dream:

• un tunel SSH invers a deschis rețeaua internă, unde același lanț a compromis serverul de administrare a firewall-urilor, cu configurațiile și credențialele tuturor echipamentelor administrate;
• cu cheia principală, atacatorii au decriptat parola contului de serviciu LDAP;
• au enumerat utilizatorii și grupurile domeniului, au făcut password spraying, au încercat să creeze conturi backdoor în Active Directory și să extragă cheia de semnare SAML.

Rezultatul acestor încercări nu este cunoscut, pentru că a rămas pe serverul de administrare. Dream consideră că tunelul este probabil încă activ. Sursele nu publică indicatori de compromitere.

Atribuire și instrumente de IA

Dream nu indică un grup anume: vorbește de o operațiune legată de China, pe baza limbii, a instrumentelor, a modelelor de IA și a țărilor alese. Au fost găsite Claude Code, o platformă ofensivă cu IA configurată cu DeepSeek și Kimi și chei API FOFA, dar nu a fost un atac complet autonom. Beardslee numește atribuirea „contestată deschis”. Kevin Beaumont, citat doar de Help Net Security, spune că știe și de un grup ransomware care folosește PHP2Shell împotriva firewall-urilor Palo Alto.

Tehnici MITRE ATT&CK: T1190 (Exploit Public-Facing Application), T1068 (Exploitation for Privilege Escalation), T1505.003 (Web Shell), T1572 (Protocol Tunneling), T1110.003 (Password Spraying), T1136.002 (Create Account: Domain Account).

Impactul pentru companiile europene și italiene

Victimele cunoscute sunt în afara Europei, dar potrivit Dream atacatorii păstrează lista celor 19.000 de firewall-uri și pot reveni cu profiluri pentru alte versiuni PAN-OS. PHP-ul dintr-un echipament, aici o ramură 8.0 fără suport oficial, se corectează doar prin actualizarea producătorului: este valabil și pentru alte echipamente cu PAN-OS, precum Siemens RUGGEDCOM APE1808, menționat pe 21 octombrie. Pentru entitățile NIS2 și pentru sănătate, firewall-urile și serverele de administrare sunt sisteme critice, iar o compromitere trebuie evaluată în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia). Potrivit Cybersecurity360, CERT-AGID număra pe 26 octombrie 467 de adrese ale administrației publice italiene cu versiuni PHP declarate potențial vulnerabile.

Ce să faci acum

1. Interfața de administrare: scoate-o de pe Internet și urmează avizul Palo Alto Networks despre PHP2Shell pentru actualizările PAN-OS.
2. Kernel: actualizează pentru CVE-2026-46300 și repornește; potrivit lui Beardslee, corecția nu este în patch-urile Dirty Frag. Acolo unde niciun serviciu nu termină IPsec, ia în calcul descărcarea esp4 și esp6, știind că poate întrerupe VPN-urile.
3. PHP: actualizează la 8.2.35, 8.3.36, 8.4.27 sau 8.5.12, ori la build-urile furnizorilor, și repornește workerii.
4. Întâi memoria: pe un sistem suspect, achiziționeaz-o înainte de repornire.
5. Caută urme: fișiere PHP noi în directoarele web, rafale de POST multipart către interfața de administrare, blocări ale firewall-urilor, tuneluri SSH de ieșire, conturi de domeniu noi.
6. Identitate: setează alerte pentru bind-urile LDAP de pe gazde care nu ar trebui să aibă credențiale de director (Beardslee) și schimbă parola contului de serviciu LDAP și credențialele gestionate de firewall-urile compromise.

Cum ajută ARXDOME

ARX Expose arată ce servicii publice ale companiei tale expun produse recunoscute. ARX Sentry colectează jurnalele firewall-urilor, cu pagini dedicate stării firmware-ului; pe serverele Linux cu agentul listează sistemul, software-ul și procesele, iar paginile despre identități arată rafale de încercări de autentificare și modificări ale conturilor. ARX Shield arată vulnerabilitățile deschise pentru fiecare mașină, evidențiindu-le pe cele deja exploatate.

Ultima actualizare: 30 octombrie 2026