Palo Alto Networks предупреди в сряда, че киберпрестъпници експлоатират наскоро коригираните уязвимости PHP2Shell срещу публично достъпни интерфейси за управление.

„Наблюдава се активна експлоатация, насочена към интерфейса за управление на Palo Alto Networks, изложен към интернет“, заяви компанията за мрежова сигурност в актуализация към своя бюлетин.

Уязвимостите, проследявани като CVE-2026-109618 и CVE-2026-109619 (CVSS оценка: 9.2), позволяват на атакуващите да постигнат отдалечено изпълнение на код без автентикация на системи, работещи със засегнати версии на PHP. Проблемите бяха отстранени в основния код от PHP Foundation на 21 октомври 2026 г. във версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Развитието идва броени дни след като израелската компания за киберсигурност Dream заяви, че е наблюдавала злонамерен субект, за когото се предполага връзка с Китай, да превръща недостатъците в оръжие в комбинация с дефект за локално ескалиране на привилегии в ядрото на Linux, проследяван като Fragnesia (CVE-2026-46300, CVSS оценка: 7.8), за да придобие root достъп до 25 сървъра в САЩ, Япония, Тайван и Южна Корея.

Сред тях са били три системи, принадлежащи към среда, свързана с правителството на САЩ.

„Засегнатите устройства работят със специфични версии на софтуер за защитни стени от голям доставчик“, отбеляза Dream. „След това атакуващият е стартирал атаки срещу Active Directory. Възстановените артефакти потвърждават извличане на идентификационни данни и изброяване на директории.“

Въпреки че Dream не разкри името на засегнатия производител на защитни стени, таймингът на предупреждението, съчетан с факта, че други компании за мрежова сигурност не са съобщили за злонамерена експлоатация срещу своите продукти, предполага, че тези събития може да са свързани.

The Hacker News се свърза както с Dream, така и с Palo Alto Networks за коментар и ще актуализираме материала при получен отговор.

Развитието накара Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) да добави CVE-2026-46300 към своя каталог с известни експлоатирани уязвимости (KEV), изисквайки от федералните агенции да приложат корекциите за сигурност до 31 октомври 2026 г.

„Тази уязвимост може да бъде верижно навързана с CVE-2026-109618 и CVE-2026-109619, за да се имплантират PHP web shell уеб обвивки и да се изпълняват команди като root“, заяви CISA.

От Palo Alto Networks също така отбелязаха, че не се изисква специална конфигурация, за да бъде засегната системата от този проблем, като добавиха, че рискът е най-висок при PAN-OS, когато достъпът до интерфейса за управление е разрешен от външни IP адреси в интернет.

„Този проблем засяга строго уеб интерфейса за управление, който включва HTTPS уеб интерфейса и услугата XML API“, посочиха от компанията. „Той засяга интерфейса на равнината за данни (dataplane) само ако към него е прикрепен профил за управление.“

Следните версии на PAN-OS са засегнати от PHP2Shell -

  • PAN-OS 12.2
  • PAN-OS 12.1
  • PAN-OS 11.2
  • PAN-OS 11.1
  • PAN-OS 10.2

За версиите на PAN-OS, за които все още няма налични коригиращи версии, Palo Alto Networks препоръча следните мерки за ограничаване -

  • Пренасочване на входящия трафик за MGT порта през DP порт, например чрез активиране на профил за управление на DP интерфейс за административен достъп.
  • Подмяна на сертификата за управление на входящия трафик (Certificate for Inbound Traffic Management).
  • Декриптиране на входящия трафик към интерфейса за управление, така че защитната стена да може да го инспектира.
  • Активиране на превенция на заплахи (threat prevention) за входящия трафик към услугите за управление.

„Клиентите с Frontier Virtual Patching (ATP Plus) на PAN-OS 12.2.4 и по-нови версии получиха предварителна защита, пусната чрез Threat ID 543004 на 20 октомври в 22:21 ч. тихоокеанско време“, се казва в съобщението.

„Рискът за сигурността, породен от този проблем в PAN-OS и Panorama, се минимизира чрез ограничаване на достъпа до интерфейса за управление единствено до надеждни вътрешни IP адреси съгласно нашите препоръчителни насоки за най-добри практики за внедряване.“