Palo Alto Networks потвърди, че две критични уязвимости за отдалечено изпълнение на код (RCE) в PHP засягат PAN-OS и преди това са засегнали две облачни услуги. Обозначени като CVE-2026-109618 и CVE-2026-109619, тези слабости наложиха планирането на спешни корекции за сигурност (hotfixes) за защитните стени и указания за ограничаване на достъпа до интерфейсите за управление.

Компанията обнови своя бюлетин за сигурност на 24 октомври 2026 г. Тя заяви, че не разполага с данни за злонамерена експлоатация срещу нейните продукти. Въпреки това от Unit 42 са забелязали доказателства за концепция (PoC) за по-широкия спектър от PHP уязвимости, известни като PHP2Shell.

PHP RCE уязвимости

И двата проблема са свързани с начина, по който PHP обработва сериозни грешки чрез longjmp() — функция, която прехвърля изпълнението на програмата към по-рано записана точка. Необезопасената памет, останала по време на този процес, може да позволи на атакуващите да изпълнят код отдалечено.

CVE-2026-109618 възниква, когато грешка поради недостиг на памет (out-of-memory) прекъсне обработката на заявка и остави паметта за заявката неинициализирана. Последващи операции по почистване могат да използват тази непълна памет. Атакуващите могат да предизвикат изчерпване на паметта, за да достигнат до това опасно състояние и да осъществят отдалечено изпълнение на код.

CVE-2026-109619 е свързана с глобални референции в паметта, които продължават да сочат към памет, след като тя вече е била освободена. Последващи заявки могат да четат или да извършват действия въз основа на тези остарели референции, създавайки друг вектор за изпълнение на контролиран от атакуващия код.

Основните уязвимости в PHP имат оценка 9.2 по CVSS 4.0. Palo Alto оценява въздействието върху своите продукти на 8.7, или висока степен на сериозност. Специфичната за продукта оценка определя наличността (availability) като засегнатото свойство на сигурността, вместо да потвърждава кражба на данни или неоторизирани модификации.

Засегнати версии на PAN-OS и услуги

Засегнатите клонове включват PAN-OS 10.2, 11.1, 11.2, 12.1 и 12.2 при защитни стени от сериите PA-Series и VM-Series. Внедряванията на Panorama, включително виртуалните и M-Series системите, също са засегнати. Не е необходима специална конфигурация, за да бъде софтуерът уязвим.

Излагането на риск е ограничено до уеб интерфейса за управление, включващ HTTPS административната конзола и XML API. Интерфейсът за данни (dataplane) е засегнат само ако към него е прикачен профил за управление. Порталите на GlobalProtect, шлюзовете, Clientless VPN и Captive Portal не са засегнати.

Услугите Cortex XCORE SaaS и WildFire Cloud бяха засегнати по-рано, но получиха отстраняване на уязвимостите съответно на 21 и 22 октомври. Cloud NGFW, Cortex XDR, Cortex XSIAM, Prisma Cloud, Prisma Access и приложението GlobalProtect са сред продуктите, посочени в момента като незасегнати.

Към 24 октомври корекциите за сигурност за PAN-OS остават планирани, а не налични. Най-ранните прогнозни дати за пускане са за 10.2.18-h13, 11.1.16-h4 и 11.2.10-h16 на 26 октомври. PAN-OS 12.2.4-h1 се очаква на 28 октомври, като други посочени корекции са планирани до 30 октомври. Тези дати остават индикативни.

Докато пристигнат корекциите за сигурност, администраторите трябва да ограничат достъпа за управление до доверени вътрешни IP адреси или специализиран междинен сървър (jump box). Интерфейсите за управление, достъпни от интернет, представляват най-висок риск. По-ранните доклади за RedTail, експлоатиращ защитни стени на Palo Alto, и рансъмуер, насочен към VPN устройства, покриват отделни заплахи, а не потвърдени атаки с PHP2Shell срещу PAN-OS.

Покритието от Threat Prevention включва сигнатура 543004 и допълнителни сигнатури, доставени чрез версии на съдържанието 9162, 9163 и 9164 нататък. Защитата изисква пренасочване на трафика за управление през dataplane порт, конфигуриране на входящ сертификат, декриптиране на HTTPS трафика и активиране на инспекция за предотвратяване на заплахи.

Администраторите трябва да следят обновленията от производителя и бюлетина за заплахи на Unit 42, да проверят точния път за инсталиране на корекцията за сигурност и да третират ограниченията на достъпа като временни защитни мерки, а не като заместител на инсталирането на коригираната версия на PAN-OS, веднага щом тя стане налична.