PHP2Shell în PAN-OS: corecții pentru cinci ramuri și Panorama

Palo Alto Networks a publicat corecțiile pentru vulnerabilitățile PHP2Shell (CVE-2026-109618 și CVE-2026-109619) în firewall-urile sale și în Panorama și a precizat că exploatarea observată vizează interfețele de management expuse pe Internet. O relatează SecurityWeek, care face și un bilanț al valului de atacuri împotriva PHP: foarte multe încercări, foarte puține reușite confirmate. CERT-IS din Islanda a cerut actualizarea cât mai rapidă și limitarea accesului la interfața de management.

Lanțul cu Fragnesia care a dus la root pe firewall-uri PAN-OS 12.1 și 12.2 este în articolul nostru din 28 octombrie; CVE-urile, versiunile PHP corectate și includerea în catalogul KEV sunt în articolele anterioare. În continuare, noutățile.

Avizul Palo Alto Networks

Potrivit SecurityWeek, corecțiile acoperă:

• PAN-OS 12.2, 12.1, 11.2, 11.1 și 10.2 pentru firewall-urile PA-Series și VM-Series;
• Panorama, atât virtual, cât și M-Series.

Sursele nu indică numerele fiecărei versiuni corectate: verifică-le în avizul producătorului, publicat cu identificatorul CVE-2026-109618 (se află printre referințele CERT-IS).

În aviz, citat de SecurityWeek, Palo Alto Networks scrie că nu este necesară nicio configurație specială pentru a fi afectat și că exploatarea activă a fost observată împotriva interfeței de management expuse pe Internet. Implicit, interfața nu este expusă. Producătorul estimează că doar o parte infimă din baza instalată, aproximativ 0,02%, are interfața de management accesibilă de pe Internet și a fost afectată și spune că a contactat individual fiecare dintre acești clienți.

CERT-IS adaugă că vulnerabilitatea poate fi exploatată doar de cine ajunge la interfața de management a dispozitivului. Cere ca accesul la ea să fie restricționat cât mai mult și ca actualizarea să se facă de îndată ce este posibil; cine nu poate face asta trebuie să urmeze indicațiile producătorului din aviz.

În practică, riscul diferă mult de la un firewall la altul: o interfață de management accesibilă doar dintr-o rețea dedicată este la îndemâna doar a celor care sunt deja în rețea, în timp ce una expusă pe Internet este ținta compromiterilor documentate până acum.

Exploatarea în masă: multe încercări, puține reușite

Tot potrivit SecurityWeek, la 29 octombrie telemetria Palo Alto Networks număra peste 22,6 milioane de instanțe PHP expuse și potențial vulnerabile. Pentru celelalte ținte, datele adunate de publicație arată că exploatarea reușită rămâne rară:

• WordPress: Defiant, companie de securitate web, nu cunoștea la 28 octombrie niciun site compromis prin PHP2Shell, în ciuda a peste 77.000 de cereri de la peste 2.000 de adrese IP. În testele sale, exploit-urile trebuie adaptate fiecărui server: contează ASLR, build-ul PHP, extensiile încărcate, limitele de memorie și modul de tratare a cererilor. Defiant avertizează că atacatorii își perfecționează încă instrumentele.
• Cato Networks: aproximativ 96% dintre atacurile blocate vizau CVE-2026-109618, iar 41% încercau execuția de cod; restul erau scanări sau PoC-uri nevalide. Cererile veneau de la câteva adrese IP din Statele Unite, Țările de Jos și Germania: mai ales încercări de execuție de comenzi și, în al doilea rând, de deserializare. Sectorul cel mai vizat este sănătatea, urmat de tehnologie și servicii de securitate, servicii profesionale, industria auto, educație și organizații non-profit, producție, construcții și comerț. Potrivit Cato, atacurile erau oportuniste: aceeași sursă lovea sectoare diferite în aceeași zi.
• watchTowr: a observat exploatări reușite de la o singură adresă IP din Germania, care de fiecare dată rulează o simplă comandă curl pentru a dovedi execuția și se oprește acolo, fără alte activități. Jake Knott, șeful departamentului de threat intelligence, se așteaptă la exploit-uri mai fiabile și specifice fiecărui echipament și, deci, la mai multe cazuri de exploatare țintită împotriva dispozitivelor de perimetru.

Sursele nu publică adresele IP: nu există indicatori de compromitere utilizabili.

Tehnici MITRE ATT&CK: T1190 (Exploit Public-Facing Application) și, pentru partea de recunoaștere, T1595 (Active Scanning).

Impactul pentru companiile europene și italiene

Două elemente privesc direct Europa. O parte din traficul de atac văzut de Cato și singurul atacator reușit observat de watchTowr folosesc adrese din Germania și Țările de Jos, care însă nu spun nimic despre identitatea atacatorilor. Iar sănătatea este sectorul cel mai vizat.

Pentru spitale și unități sanitare, precum și pentru toate entitățile care intră sub NIS2, o interfață de management a firewall-ului accesibilă de pe Internet este o expunere care trebuie închisă și documentată; dacă un dispozitiv se dovedește compromis, incidentul trebuie evaluat în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia; în România, DNSC). Faptul că Palo Alto Networks a contactat direct clienții afectați nu înlocuiește o verificare proprie. Același lucru este valabil pentru echipamentele terților bazate pe PAN-OS, precum Siemens RUGGEDCOM APE1808 menționat pe 21 octombrie.

Ce ai de făcut acum

1. Interfața de management: verifică din exterior că interfața firewall-urilor și a Panorama nu este accesibilă de pe Internet; permite accesul doar dintr-o rețea de management sau de la adrese interne de încredere și verifică și profilurile de management atribuite interfețelor de date.
2. Actualizează PAN-OS și Panorama la versiunea corectată pentru ramura ta, indicată în avizul Palo Alto Networks; dacă nu poți face asta imediat, aplică măsurile alternative din aviz, cum cere CERT-IS.
3. Dacă interfața era expusă, tratează dispozitivul ca fiind de verificat: capturează memoria înainte de repornire, caută fișiere PHP noi în folderele web, tuneluri SSH de ieșire și accesări anormale ale serverului de management, așa cum am descris în articolul nostru din 28 octombrie.
4. Servere PHP: actualizează și acolo unde nu s-au văzut atacuri reușite, cum recomandă Defiant pentru WordPress: exploit-urile sunt adaptate continuu.
5. Detecție: caută procese PHP sau ale serverului web care lansează curl către adrese externe (tiparul văzut de watchTowr), rafale de cereri POST multipart și căderi ale worker-ilor PHP.
6. Sănătate: dă prioritate sistemelor expuse ale spitalelor, laboratoarelor și furnizorilor de servicii medicale, sectorul cel mai vizat potrivit Cato.

Cum te ajută ARXDOME

ARX Expose arată ce servicii publice ale companiei tale expun produse recunoscute, iar ARX Scout verifică direct ce porturi și servicii sunt cu adevărat deschise: împreună ajută la descoperirea unei interfețe de management accesibile de pe Internet. ARX Sentry colectează jurnalele firewall-urilor, cu pagini dedicate stării firmware-ului, iar ARX Radar recunoaște în traficul de intrare scanările și sursele care lovesc mai multe companii. ARX Shield arată vulnerabilitățile deschise pentru fiecare mașină, evidențiind-le pe cele deja exploatate.

Ultima actualizare: 1 noiembrie 2026