Palo Alto Networks hat bestätigt, dass Angreifer PHP2Shell-Schwachstellen mit einer Linux-Kernel-Schwachstelle verkettet haben, um auf seinen Firewalls Root-Zugriff zu erlangen, die höchste Stufe der Systemkontrolle, wie SecurityWeek berichtet. Administratoren mit aus dem Internet erreichbaren Management-Schnittstellen sollten den Zugriff sofort einschränken und die Korrekturen des Herstellers installieren.
Betroffen sind die Firewalls der PA-Serie und der VM-Serie sowie die Panorama-Management-Appliances, einschließlich virtueller und M-Series-Bereitstellungen. Die Patches decken PAN-OS 12.2, 12.1, 11.2, 11.1 und 10.2 ab. Palo Alto Networks zufolge sind Management-Schnittstellen standardmäßig nicht aus dem Internet erreichbar. Aktive Angriffe haben jedoch exponierte Schnittstellen ins Visier genommen, und damit die Schwachstellen greifen, ist keine besondere Konfiguration erforderlich.
SecurityWeek zufolge hat Dream mindestens 25 kompromittierte Firewalls aus einem Pool von Hunderten identifiziert und die Kampagne mit einer China zugeordneten Hackergruppe in Verbindung gebracht. Palo Alto Networks erklärte, dass sein Unit-42-Team die Werkzeuge des Angreifers unabhängig verifiziert und die Ergebnisse von Dream bestätigt habe. Das Unternehmen gab an, dass rund 0,02 Prozent seiner weltweit installierten Basis konfigurierte, aus dem Internet erreichbare Management-Schnittstellen besaß und betroffen war. Seine Teams hätten diese Kunden einzeln kontaktiert.
Der Angriff kombiniert CVE-2026-109618 und CVE-2026-109619, zusammen PHP2Shell genannt, mit Fragnesia, einer Linux-Kernel-Schwachstelle, die es Angreifern erlaubt, ihre Privilegien zu erhöhen. Die PHP-Schwachstellen ermöglichen Remote Code Execution, weil der Speicher bei der Fehlerbehandlung falsch verarbeitet wird. In dieser Kampagne ermöglichte die Kette es Angreifern, Webshells, also Skripte für den Fernzugriff, mit Root-Rechten zu installieren.
Breitere Ausnutzungsversuche hatten gemischte Ergebnisse. SecurityWeek zufolge verzeichnete die WordPress-Sicherheitsfirma Defiant mehr als 77.000 entsprechende Anfragen von über 2.000 IP-Adressen. Stand 28. Oktober kannte Defiant jedoch keine WordPress-Website, die durch PHP2Shell kompromittiert worden war. Defiants Tests ergaben, dass Exploits häufig an den PHP-Build, die Speichergrenzen, die Erweiterungen und die Anfragebehandlung des Ziels angepasst werden müssen. Das Unternehmen forderte Betreiber von Websites auf, PHP zu aktualisieren, da eine erfolgreiche Ausnutzung Dateien, Datenbanken und Passwörter offenlegen könnte.
Der Sicherheitshinweis von Palo Alto Networks, veröffentlicht am 21. Oktober und aktualisiert am 29. Oktober, nennt innerhalb jedes Versionszweigs folgende Upgrade-Ziele:
- PAN-OS 12.2: 12.2.4-h1 oder neuer.
- PAN-OS 12.1: 12.1.10-h3 oder neuer.
- PAN-OS 11.2: 11.2.16-h1 oder neuer.
- PAN-OS 11.1: 11.1.16-h4 oder neuer.
- PAN-OS 10.2: 10.2.18-h13 oder neuer.
Der Hinweis nennt außerdem Korrekturen für frühere Wartungszweige. Die veröffentlichten Hotfixes beheben beide PHP-Schwachstellen. Administratoren sollten das passende Update einspielen und, den Empfehlungen des Herstellers folgend, den Management-Zugriff auf vertrauenswürdige interne IP-Adressen beschränken.
