Palo Alto Networks waarschuwde woensdag dat dreigingsactoren misbruik maken van de recent gepatchte PHP2Shell-kwetsbaarheden tegen openbaar toegankelijke beheerinterfaces.
“Er is actieve exploitatie waargenomen gericht op de Palo Alto Networks-beheerinterface die aan het internet is blootgesteld,” stond in een update van het advies van het netwerkbeveiligingsbedrijf.
De kwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619 (CVSS-scores: 9.2), stellen aanvallers in staat om ongeauthenticeerde remote code execution uit te voeren op systemen die getroffen versies van PHP draaien. De problemen werden upstream door de PHP Foundation gepatcht op 21 oktober 2026 in versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
De ontwikkeling volgt op een bericht enkele dagen eerder van het Israëlische cybersecuritybedrijf Dream, dat zei een vermoedelijke China-verbonden dreigingsactor te hebben waargenomen die de fouten gebruikte in combinatie met een lokale privilege-escalatiebug in de Linux-kernel, gevolgd onder de naam Fragnesia (CVE-2026-46300, CVSS-score: 7.8), om root-toegang te krijgen op 25 servers in de VS, Japan, Taiwan en Zuid-Korea.
Onder die systemen waren drie systemen die behoren tot een omgeving gelieerd aan de Amerikaanse overheid.
“De getroffen apparaten draaien specifieke versies van de firewallsoftware van een grote leverancier,” merkte Dream op. “De aanvaller lanceerde vervolgens aanvallen tegen Active Directory. De teruggevonden artefacten bevestigen credential-extractie en directory-enumeratie.”
Hoewel Dream de naam van de getroffen firewallleverancier niet heeft vrijgegeven, suggereren de timing van het advies en het feit dat andere netwerkbeveiligingsbedrijven geen kwaadaardige exploitatie van hun producten hebben gerapporteerd dat deze gebeurtenissen mogelijk met elkaar samenhangen.
The Hacker News heeft zowel Dream als Palo Alto Networks om commentaar benaderd; we zullen het artikel bijwerken als we een reactie ontvangen.
De ontwikkeling heeft ertoe geleid dat het U.S. Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-46300 heeft toegevoegd aan zijn Known Exploited Vulnerabilities (KEV)-catalogus, waarmee federale instanties worden verplicht de fixes toe te passen vóór 31 oktober 2026.
“Deze kwetsbaarheid kan worden gekoppeld aan CVE-2026-109618 en CVE-2026-109619 om PHP-webshells te implanteren en commando’s als root uit te voeren,” zei CISA.
Palo Alto Networks merkte ook op dat geen speciale configuratie vereist is om door dit probleem getroffen te worden, en voegde daaraan toe dat het risico het grootst is op PAN-OS wanneer toegang tot de beheerinterface vanaf externe IP-adressen op het internet is toegestaan.
“Dit probleem treft strikt de managementwebinterface, die de HTTPS-web-UI en de XML API-service omvat,” aldus het bedrijf. “Het beïnvloedt de dataplane-interface alleen als er een managementprofiel aan is gekoppeld.”
De volgende versies van PAN-OS zijn getroffen door PHP2Shell –
-
PAN-OS 12.2
- = 12.2.4-h1)
-
PAN-OS 12.1
- = 12.1.4-h13) (ETA: 10/29)
- = 12.1.7-h11)
- = 12.1.10-h3) (ETA: 10/30)
-
PAN-OS 11.2
- = 11.2.4-h23) (ETA: 10/30)
- = 11.2.7-h23)
- = 11.2.10-h16)
- = 11.2.13-h4)
- = 11.2.16-h1)
-
PAN-OS 11.1
- = 11.1.4-h38)
- = 11.1.6-h40)
- = 11.1.7-h12) (ETA: 10/30)
- = 11.1.10-h36)
- = 11.1.13-h16)
- = 11.1.16-h4)
-
PAN-OS 10.2
- = 10.2.7-h39) (ETA: 10/30)
- = 10.2.10-h42) (ETA: 10/29)
- = 10.2.13-h27)
- = 10.2.16-h12)
- = 10.2.18-h13)
Voor PAN-OS-versies waarvoor nog geen fixversies beschikbaar zijn, raadt Palo Alto Networks de volgende mitigaties aan –
- Routeer inkomend verkeer voor de MGT-poort via een DP-poort, bijvoorbeeld door een managementprofiel op een DP-interface in te schakelen voor beheer-toegang.
- Vervang het certificaat voor inkomend beheerverkeer.
- Ontsleutel inkomend verkeer naar de beheerinterface zodat de firewall dit kan inspecteren.
- Schakel threat prevention in op het inkomende verkeer naar beheerdiensten.
“Klanten met Frontier Virtual Patching (ATP Plus) op PAN-OS 12.2.4 en latere versies ontvingen vooraf dekking, uitgebracht via Threat ID 543004, dat om 22:21 PT op 20 oktober werd vrijgegeven,” aldus het bedrijf.
“Het beveiligingsrisico dat door dit probleem op PAN-OS en Panorama wordt veroorzaakt, wordt geminimaliseerd door de toegang tot de beheerinterface te beperken tot alleen vertrouwde interne IP-adressen conform onze aanbevolen best-practice implementatierichtlijnen.”
