Aktualizované: PHP2Shell v PAN-OS je aktívne zneužívaný

Palo Alto Networks potvrdila aktívne zneužívanie chýb PHP2Shell proti verejne dostupným rozhraniam správy PAN-OS. Výrobca odporúča odstrániť ich z verejného internetu a nasadiť opravy.

Aktualizované: Palo Alto Networks potvrdila aktívne zneužívanie PHP2Shell proti verejne dostupným manažment rozhraniam PAN-OS a nezávisle overila výsledky kampane Dream Research.

PHP2Shell v PAN-OS je podľa Palo Alto Networks aktívne zneužívaný proti internetom dostupným rozhraniam správy. Výrobca 29. októbra potvrdil útoky využívajúce chyby CVE-2026-109618 a CVE-2026-109619 a vyzval zákazníkov, aby obmedzili verejný prístup k manažment rozhraniu a nasadili dostupné opravy.

Ide o sprísnenie predchádzajúcich zistení okolo tejto kampane. Výskumníci z Unit 42, bezpečnostného tímu Palo Alto Networks, nezávisle overili útočnícke nástroje aj výsledky kampane, ktorú predtým opísala firma Dream Research.

PHP2Shell v PAN-OS cieli na manažment rozhranie

Potvrdené zneužívanie sa týka verejne dostupných rozhraní správy PAN-OS. Palo Alto Networks uvádza, že dostupné opravy PAN-OS prerušujú pozorovaný reťazec zneužitia. Správcom preto odporúča bezodkladne aplikovať príslušné aktualizácie a odstrániť priamy verejný prístup k rozhraniu správy.

Praktickou prioritou je obmedziť prístup k manažmentu na dôveryhodné interné adresy. Organizácie, ktoré mali takéto rozhranie vystavené na internete, by mali popri opravách preveriť aj možné známky kompromitácie.

Dream Research uvádza 25 kompromitovaných systémov

Dream Research po aktualizácii svojej správy identifikovala dotknuté zariadenia ako systémy PAN-OS. Firma naďalej uvádza 25 kompromitovaných firewallov a manažment serverov. Palo Alto Networks síce nezávisle overila nástroje a výsledky kampane, z dostupných zistení však nie je jasný širší rozsah mimo zariadení PAN-OS s verejne dostupným manažmentom.

Niekoľko ďalších tvrdení zostáva nepotvrdených. Nezávisle nebola potvrdená atribúcia útočníkov aktérovi s väzbami na Čínu. Pri prostredí opísanom Dream Research tiež nie je priamo potvrdené, že patrilo vláde USA; zdroje ho označujú iba ako prostredie napojené na vládu USA. Nepriamym zistením tejto firmy zostáva aj možné použitie AI pri tvorbe exploitu alebo následných nástrojov.

Čo majú správcovia urobiť

  • Odstrániť verejný prístup k rozhraniu správy PAN-OS a povoliť ho len z dôveryhodných interných adries.
  • Nasadiť dostupné opravy PAN-OS pre CVE-2026-109618 a CVE-2026-109619.
  • Preveriť zariadenia, ktoré mali manažment rozhranie dostupné z internetu, na možné indikátory kompromitácie.
  • Sledovať ďalšie technické indikátory a revízie odporúčaní od Palo Alto Networks.

Ďalší vývoj môže priniesť spresnenie počtu zasiahnutých organizácií, nové indikátory kompromitácie a informácie o dostupnosti opráv pre všetky dotknuté vetvy PAN-OS. Otvorená zostáva aj otázka atribúcie kampane.

Súvisiace články

Zdroje

  • Palo Alto Networks Unit 42 – Výrobca potvrdzuje aktívne zneužívanie PHP2Shell proti verejne dostupným manažment rozhraniam PAN-OS, nezávislé overenie nástrojov a výsledkov kampane a dostupnosť opráv.
  • Dream Research – Výskumná firma opisuje reťazenie PHP2Shell s Fragnesia, 25 kompromitovaných systémov PAN-OS a zistenia v prostredí napojenom na vládu USA.
  • The Record – Koroboruje, že sa objavili obmedzené hlásenia o úspešnom zneužití PHP2Shell a sumarizuje tvrdenia GreyNoise a Dream.
  • Red Hat – Potvrdzuje povahu chýb PHP2Shell, dostupnosť opráv a že konfigurácie mod_php sú prakticky rizikovejšie než predvolené PHP-FPM nasadenia.

Overené a aktualizované: 30. 10. 2026 06:31

Značky
Zdieľanie

Súvisiace