Palo Alto Networks потвърди, че всички версии на PAN-OS и Panorama са засегнати от PHP2Shell – двойка критични уязвимости в PHP, които позволяват на атакуващ да изпълни код на уеб сървър без нужда от удостоверяване. Palo Alto все още не е пуснала коригирани версии на PAN-OS. Fortinet и Cisco публикуваха свои бюлетини за сигурност, като до момента нито една от двете компании не е потвърдила уязвим продукт: Fortinet проверява 12 продукта, а Cisco – 31 продукта и облачни услуги.
От Palo Alto посочват, че рискът е най-висок, когато интерфейсът за управление на PAN-OS приема връзки от интернет. Клиентите, използващи продуктите, които Fortinet и Cisco все още разследват, все още не знаят дали са изложени на риск, а от Cisco заявяват, че междувременно няма налични временни мерки за защита.
Fortinet: 12 продукта в процес на проверка, 12 изчистени
Бюлетинът на PSIRT екипа на Fortinet определя CVE-2026-109618 като критична уязвимост с CVSS v3 оценка 9.8 и посочва, че няма данни тя да се експлоатира активно. Отделен доклад на FortiGuard Labs оценява и двете CVE уязвимости с 9.2 по CVSS 4.0.
Следните 12 продукта все още се разследват: FortiADC, FortiADC Manager, FortiClient EMS, FortiDDoS, FortiDDoS-F, FortiSIEM, FortiMonitor, FortiClient Cloud, FortiSOAR, FortiSOAR PaaS, FortiGuard и FortiEndpoint.
Fortinet потвърди, че следните 12 продукта не са засегнати: FortiOS, FortiManager, FortiAnalyzer, FortiWeb, FortiMail, FortiClient за Linux, Windows и macOS, FortiSASE, FortiAuthenticator, FortiSwitch и FortiNAC. FortiOS – операционната система, която управлява защитните стени FortiGate, е в списъка на незасегнатите продукти.
Бюлетинът на PSIRT не предоставя коригирани версии или временни мерки за проверяваните продукти, а полето за виртуална корекция за сигурност показва „No“. FortiGuard Labs разглежда смекчаването на риска в отделен доклад, насочен към PHP сървърите като цяло. В него FortiGuard съобщава, че е пуснала виртуални корекции за двете CVE уязвимости във версия 37.316. FortiCNAPP открива и двете уязвимости в PHP пакети, инсталирани от хранилищата на Linux дистрибуциите. Ubuntu, Debian и Alpine Linux 3.24 вече са публикували корекции към момента на излизане на доклада, докато RHEL и нейните производни, Amazon Linux и SUSE все още не са, поради което констатациите на FortiCNAPP за тях може все още да не показват коригирана версия. На клиентите на FortiWeb се препоръчва да прегледат своите политики за защита на уеб приложения и механизмите за инспекция на заявките.
Препоръките на FortiGuard за PHP сървъри:
- Надстройте до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или инсталирайте пакета от доставчика, съдържащ корекцията за сигурност.
- Когато инсталирането на корекции трябва да изчака, изолирайте засегнатите системи от ненадеждни мрежи или временно изключете публично достъпните услуги.
- Задайте лимити на уеб сървъра или междинния прокси сървър (reverse proxy) за размера на заявките, полетата за въвеждане, multipart секциите, заглавните части (headers) и дълбочината на вграждане. Fortinet отбелязва, че тези мерки намаляват експозицията, но не заместват прилагането на корекции за сигурност.
- Проверявайте за съмнителни уеб заявки, неочаквано поведение на PHP процесите, необяснимо изпълнение на процеси и необичаен достъп до файлове на приложенията или бази данни, като започнете от системите с достъп до интернет, преди да ги върнете в продукционна среда.
PHP 8.1 и по-старите версии вече не получават обновления за сигурност от проекта PHP, така че Fortinet съветва клиентите с тези версии да потърсят бекпортнати корекции от доставчика на операционната система или да преминат към поддържана версия.
Cisco: 31 продукта и услуги, все още без отговори
Бюлетинът на Cisco определя уязвимостите като критични. Cisco не посочва уязвими продукти, но и списъкът с потвърдени незасегнати продукти също е празен.
Cisco разследва 18 продукта и 13 облачни услуги:
- Мрежова сигурност и защита на съдържанието: Cisco AI Defense (хибридно локално внедряване), Cisco Hypershield, Cisco Identity Services Engine (ISE)
- Управление на мрежата и провизиране: Cisco Business Process Automation (BPA), Cisco Catalyst Center (по-рано DNA Center), Cisco Catalyst SD-WAN Manager, Cisco Nexus Dashboard Insights, Cisco WAN Automation Engine (WAE)
- Гласови и обединени комуникации: Cisco Expressway Series
- Безжични мрежи: Cisco Ultra-Reliable Wireless Backhaul (URWB), Cisco Unified Industrial Wireless Software
- Наблюдаемост на приложенията: AppDynamics On-Premises Secure Application, AppDynamics PHP Agent
- Облачни услуги: AppDynamics SaaS Secure Application, Cisco CX Cloud, Cisco Defense Orchestrator, Cisco IoT Control Center, Cisco Multicloud Defense, Cisco Panoptica, Cisco Secure Access, Cisco Secure Email Threat Defense, Cisco Umbrella, Cisco Vulnerability Management (по-рано Kenna.VM), Cisco+ Secure Connect, Slido, Webex
Cisco заявява, че няма временни решения за уязвимостите. След като разследването установи засегнати продукти, компанията ще ги добави към бюлетина с идентификатори на грешки в инструмента Bug Search Tool, като тези записи ще съдържат временни мерки (където са налични) и коригирани версии на софтуера. Екипът на Cisco PSIRT посочва, че няма данни за злонамерено използване на уязвимостите.
Palo Alto Networks: PAN-OS и Panorama са засегнати, очаква се корекция
Бюлетинът на Palo Alto посочва, че всички версии на PAN-OS и Panorama са засегнати, без да е необходима специална конфигурация, за да бъдат изложени на риск. Седем продукта не са засегнати: Bridgecrew, Cloud NGFW, Cortex XDR Agent, Cortex XSOAR, Cortex Xpanse, Idira и Prisma Access.
Palo Alto класифицира проблема с висока степен на опасност, с CVSS-B оценка от 8.7 и умерена спешност, което е под оценката 9.2, посочена в бюлетина като оценка на вендора. Векторът за оценяване, който Palo Alto използва за собствените си продукти, отчита високо въздействие върху наличността и липса на въздействие върху поверителността или целостта. На разбираем език това оценява риска за PAN-OS като прекъсване на работата, без компрометиране или манипулиране на данни. В бюлетина не се пояснява как компанията е стигнала до това заключение. Ограничаването на достъпа до интерфейса за управление само до един опорен хост (jump box) намалява оценката до 7.1. От Palo Alto твърдят, че няма данни за злонамерена експлоатация срещу техните продукти.
Коригираните версии на PAN-OS все още се подготвят, като компанията ще добави номерата на версиите и прогнозните дати за пускане в бюлетина веднага щом разполага с тях. Дотогава Palo Alto препоръчва:
- Ограничаване на достъпа до интерфейса за управление само до надеждни вътрешни IP адреси, съгласно добрите практики за внедряване.
- Използване на механизмите за превенция на заплахи. Клиентите с Frontier Virtual Patching получиха Threat ID 543004 в 22:21 ч. тихоокеанско време на 20 октомври – часове преди PHP да публикува своите корекции. Advanced Threat Prevention добави стандартна IPS защита чрез сигнатури 543004, 97622, 97623, 97624 и 97625 на 21 октомври.
Повечето публични експлойти все още не работят
Екипът на VulnCheck успя да възпроизведе и двата проблема в PHP2Shell късно вечерта на 20 октомври, след като детайли за уязвимостите изтекоха преди планираното им публикуване. Първоначалният анализ показва, че дефектите могат да бъдат експлоатирани за отдалечено изпълнение на код на ARM64 архитектури и на x86 системи без активиран ASLR. Технологията за рандомизация на адресното пространство (ASLR) разбърква местата в паметта, където се намират кодът и данните на програмата, така че експлойтът да не може да разчита на фиксирани адреси.
В GitHub се появиха десетки хранилища с концептуални доказателства (PoC). VulnCheck, които ги анализират текущо, съобщават, че само съвсем малка част от тях прилагат правилния според тях механизъм за експлоатация, като нито едно не успява самостоятелно да заобиколи ASLR на x86-64 системи. При ARM64 обаче, според VulnCheck, ASLR може да бъде преодолян сравнително лесно чрез груба сила (brute-force).
От VulnCheck все пак очакват широко разпространени опити за атака, базирани на публичните концептуални кодове, независимо дали самият код работи или целевата система е уязвима. Поради това вълната от записи в логовете няма да дава категорична представа дали даден сървър действително е изложен на опасност.
Palo Alto заяви, че ще обнови своя бюлетин с коригираните версии на PAN-OS веднага щом са готови, а Cisco ще актуализира списъците с продукти с напредването на проверката. FortiGuard Labs към Fortinet отбелязва, че следи ситуацията и ще предостави допълнителни защити при първа възможност.
АКТУАЛИЗАЦИЯ: четвъртък, 22 октомври 2026 г. – 08:05 ч. ET
Searchlight Cyber пусна инструмент с отворен код php2shell-scanner, който проверява дали даден хост е уязвим към CVE-2026-109618 и CVE-2026-109619.