Palo Alto Networks ha confermato che gli aggressori hanno concatenato le vulnerabilità PHP2Shell con un difetto del kernel Linux per ottenere accesso root, il livello più alto di controllo del sistema, sui propri firewall, secondo quanto riporta SecurityWeek. Gli amministratori con interfacce di gestione esposte su internet dovrebbero limitare subito l'accesso e installare le correzioni del fornitore.
I prodotti interessati comprendono i firewall PA-Series e VM-Series e le appliance di gestione Panorama, incluse le installazioni virtuali e M-Series. Le patch coprono PAN-OS 12.2, 12.1, 11.2, 11.1 e 10.2. Palo Alto Networks afferma che, per impostazione predefinita, le interfacce di gestione non sono esposte su internet, ma lo sfruttamento attivo ha preso di mira le interfacce esposte, e per rendere applicabili le vulnerabilità non è richiesta alcuna configurazione speciale.
SecurityWeek riporta che Dream ha individuato almeno 25 firewall compromessi su un insieme di centinaia e ha collegato la campagna a un gruppo di hacker legato alla Cina. Palo Alto Networks ha dichiarato che il proprio team Unit 42 ha verificato in modo indipendente gli strumenti dell'aggressore e ha confermato i risultati di Dream. L'azienda ha affermato che circa lo 0,02% della sua base installata globale aveva configurate interfacce di gestione esposte su internet ed è stata colpita; i suoi team hanno contattato individualmente quei clienti.
L'attacco combina CVE-2026-109618 e CVE-2026-109619, collettivamente chiamate PHP2Shell, con Fragnesia, una vulnerabilità del kernel Linux che consente agli aggressori di elevare i propri privilegi. Le falle PHP consentono l'esecuzione di codice remoto gestendo in modo errato la memoria durante l'elaborazione degli errori. In questa campagna, la catena ha permesso agli aggressori di installare webshell, cioè script che forniscono accesso remoto, con privilegi root.
Tentativi di sfruttamento più estesi hanno dato risultati contrastanti. SecurityWeek riporta che la società di sicurezza specializzata in WordPress Defiant ha registrato più di 77.000 richieste correlate provenienti da oltre 2.000 indirizzi IP, sebbene al 28 ottobre non fosse a conoscenza di alcun sito WordPress compromesso tramite PHP2Shell. I test di Defiant hanno rilevato che gli exploit spesso richiedono adattamenti in base alla build PHP del bersaglio, ai limiti di memoria, alle estensioni e alla gestione delle richieste. Defiant ha esortato i gestori dei siti ad aggiornare PHP, perché uno sfruttamento riuscito potrebbe esporre file, database e password.
L'avviso di Palo Alto Networks, pubblicato il 21 ottobre e aggiornato il 29 ottobre, elenca questi obiettivi di aggiornamento per ciascuna linea di rilascio:
- PAN-OS 12.2: 12.2.4-h1 o successiva.
- PAN-OS 12.1: 12.1.10-h3 o successiva.
- PAN-OS 11.2: 11.2.16-h1 o successiva.
- PAN-OS 11.1: 11.1.16-h4 o successiva.
- PAN-OS 10.2: 10.2.18-h13 o successiva.
L'avviso elenca anche le correzioni per i rami di manutenzione precedenti. Le hotfix rilasciate affrontano entrambe le vulnerabilità PHP. Gli amministratori dovrebbero applicare l'aggiornamento appropriato e, seguendo le indicazioni del fornitore, limitare l'accesso di gestione agli indirizzi IP interni attendibili.
