В среду Palo Alto Networks сообщила об активных атаках на доступные из интернета интерфейсы управления своих систем. Злоумышленники используют недавно исправленные уязвимости PHP2Shell. Компания обновила своё сообщение после публикации, добавив комментарий для The Hacker News.
Речь идёт о CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 по CVSS и могут позволить удалённо выполнять код без аутентификации на системах с уязвимыми версиями PHP. PHP Foundation выпустила исправления 21 октября 2026 года: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Израильская компания Dream описала связанный эпизод с предполагаемым китайским злоумышленником. По её данным, атакующий сочетал PHP-уязвимости с Fragnesia (CVE-2026-46300), ошибкой повышения локальных привилегий в ядре Linux с оценкой CVSS 7,8. В результате он получил права root на 25 серверах в США, Японии, Тайване и Южной Корее. Три системы относились к среде, связанной с правительством США.
Dream сообщила, что пострадавшие устройства работали на определённых версиях межсетевого экрана крупного производителя, но сначала не назвала его. После взлома атакующий переключился на Active Directory: извлечённые артефакты указывали на сбор учётных данных и перечисление объектов каталога. Сроки публикации Dream и отсутствие сообщений о сходных атаках на продукты других производителей сетевой безопасности позволили предположить связь с инцидентами вокруг Palo Alto Networks.
Агентство кибербезопасности и защиты инфраструктуры США (CISA) внесло CVE-2026-46300 в каталог известных эксплуатируемых уязвимостей KEV. Федеральные ведомства должны были установить исправления до 31 октября 2026 года. По оценке CISA, Fragnesia можно объединить с CVE-2026-109618 и CVE-2026-109619, чтобы установить PHP-веб-оболочки и выполнять команды с правами root.
Palo Alto Networks уточнила, что для уязвимости не требуется особая конфигурация. Наибольшему риску подвержены системы PAN-OS, чьи интерфейсы управления доступны с внешних IP-адресов. Под угрозой находятся веб-интерфейс HTTPS и служба XML API. Интерфейс dataplane уязвим только при подключённом к нему профиле управления. GlobalProtect Portal, Gateway и Clientless VPN не затронуты.
По состоянию на 30 октября 2026 года исправления выпущены для всех уязвимых версий PAN-OS 12.2, 12.1, 11.2, 11.1 и 10.2. В перечне ниже версии до указанной исправленной считаются уязвимыми; даты ETA приведены в исходном формате:
Для доступа к управлению через интерфейс dataplane в рекомендациях также упомянуты профиль управления, замена сертификата для входящего трафика, расшифровка входящего трафика к интерфейсу управления для проверки межсетевым экраном и включение Threat Prevention для входящих подключений к службам управления. Клиенты с Frontier Virtual Patching (ATP Plus) на PAN-OS 12.2.4 и новее получили предварительную защиту через Threat ID 543004, выпущенный 20 октября в 22:21 по тихоокеанскому времени; год в этой записи не указан.
Представитель Palo Alto Networks заявил The Hacker News, что компании известно сообщение Dream о несанкционированных атаках на доступные из интернета интерфейсы управления PAN-OS. Клиенты, установившие доступные исправления, не пострадали, сообщил представитель; он также призвал ограничить доступ доверенными внутренними IP-адресами и обновить PAN-OS. По данным продукта управления внешней поверхностью атак Xpanse, интернет-доступные интерфейсы управления были настроены менее чем у 0,01% глобальной установленной базы компании. Palo Alto Networks сообщила, что её специалисты лично связались с каждым потенциально затронутым клиентом и продолжат расследование, публикуя обновления по мере необходимости.
Позднее Dream подтвердила, что передаёт обновления и совместно с Palo Alto Networks расследует инцидент. По её оценке, подготовка атакующего была тщательной: он получил прошивку PAN-OS, расшифровал её, извлёк PHP-библиотеки, составил точные профили памяти для девяти версий ПО и проверял геометрию эксплойта в лабораторных условиях.
Изображение носит иллюстративный характер
Речь идёт о CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 по CVSS и могут позволить удалённо выполнять код без аутентификации на системах с уязвимыми версиями PHP. PHP Foundation выпустила исправления 21 октября 2026 года: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Израильская компания Dream описала связанный эпизод с предполагаемым китайским злоумышленником. По её данным, атакующий сочетал PHP-уязвимости с Fragnesia (CVE-2026-46300), ошибкой повышения локальных привилегий в ядре Linux с оценкой CVSS 7,8. В результате он получил права root на 25 серверах в США, Японии, Тайване и Южной Корее. Три системы относились к среде, связанной с правительством США.
Dream сообщила, что пострадавшие устройства работали на определённых версиях межсетевого экрана крупного производителя, но сначала не назвала его. После взлома атакующий переключился на Active Directory: извлечённые артефакты указывали на сбор учётных данных и перечисление объектов каталога. Сроки публикации Dream и отсутствие сообщений о сходных атаках на продукты других производителей сетевой безопасности позволили предположить связь с инцидентами вокруг Palo Alto Networks.
Агентство кибербезопасности и защиты инфраструктуры США (CISA) внесло CVE-2026-46300 в каталог известных эксплуатируемых уязвимостей KEV. Федеральные ведомства должны были установить исправления до 31 октября 2026 года. По оценке CISA, Fragnesia можно объединить с CVE-2026-109618 и CVE-2026-109619, чтобы установить PHP-веб-оболочки и выполнять команды с правами root.
Palo Alto Networks уточнила, что для уязвимости не требуется особая конфигурация. Наибольшему риску подвержены системы PAN-OS, чьи интерфейсы управления доступны с внешних IP-адресов. Под угрозой находятся веб-интерфейс HTTPS и служба XML API. Интерфейс dataplane уязвим только при подключённом к нему профиле управления. GlobalProtect Portal, Gateway и Clientless VPN не затронуты.
По состоянию на 30 октября 2026 года исправления выпущены для всех уязвимых версий PAN-OS 12.2, 12.1, 11.2, 11.1 и 10.2. В перечне ниже версии до указанной исправленной считаются уязвимыми; даты ETA приведены в исходном формате:
- []PAN-OS 12.2: ниже 12.2.4-h1; исправление — 12.2.4-h1 и новее.
[]PAN-OS 12.1: ниже 12.1.4-h13; исправление — 12.1.4-h13 и новее, ETA 10/29. Ниже 12.1.7-h11 — исправление 12.1.7-h11 и новее. Ниже 12.1.10-h3 — исправление 12.1.10-h3 и новее, ETA 10/30.
[]PAN-OS 11.2: ниже 11.2.4-h23 — исправление 11.2.4-h23 и новее, ETA 10/30; ниже 11.2.7-h23 — исправление 11.2.7-h23 и новее; ниже 11.2.10-h16 — исправление 11.2.10-h16 и новее; ниже 11.2.13-h4 — исправление 11.2.13-h4 и новее; ниже 11.2.16-h1 — исправление 11.2.16-h1 и новее.
[]PAN-OS 11.1: ниже 11.1.4-h38 — исправление 11.1.4-h38 и новее; ниже 11.1.6-h40 — исправление 11.1.6-h40 и новее; ниже 11.1.7-h12 — исправление 11.1.7-h12 и новее, ETA 10/30; ниже 11.1.10-h36 — исправление 11.1.10-h36 и новее; ниже 11.1.13-h16 — исправление 11.1.13-h16 и новее; ниже 11.1.16-h4 — исправление 11.1.16-h4 и новее.
[]PAN-OS 10.2: ниже 10.2.7-h39 — исправление 10.2.7-h39 и новее, ETA 10/30; ниже 10.2.10-h42 — исправление 10.2.10-h42 и новее, ETA 10/29; ниже 10.2.13-h27 — исправление 10.2.13-h27 и новее; ниже 10.2.16-h12 — исправление 10.2.16-h12 и новее.
Для доступа к управлению через интерфейс dataplane в рекомендациях также упомянуты профиль управления, замена сертификата для входящего трафика, расшифровка входящего трафика к интерфейсу управления для проверки межсетевым экраном и включение Threat Prevention для входящих подключений к службам управления. Клиенты с Frontier Virtual Patching (ATP Plus) на PAN-OS 12.2.4 и новее получили предварительную защиту через Threat ID 543004, выпущенный 20 октября в 22:21 по тихоокеанскому времени; год в этой записи не указан.
Представитель Palo Alto Networks заявил The Hacker News, что компании известно сообщение Dream о несанкционированных атаках на доступные из интернета интерфейсы управления PAN-OS. Клиенты, установившие доступные исправления, не пострадали, сообщил представитель; он также призвал ограничить доступ доверенными внутренними IP-адресами и обновить PAN-OS. По данным продукта управления внешней поверхностью атак Xpanse, интернет-доступные интерфейсы управления были настроены менее чем у 0,01% глобальной установленной базы компании. Palo Alto Networks сообщила, что её специалисты лично связались с каждым потенциально затронутым клиентом и продолжат расследование, публикуя обновления по мере необходимости.
Позднее Dream подтвердила, что передаёт обновления и совместно с Palo Alto Networks расследует инцидент. По её оценке, подготовка атакующего была тщательной: он получил прошивку PAN-OS, расшифровал её, извлёк PHP-библиотеки, составил точные профили памяти для девяти версий ПО и проверял геометрию эксплойта в лабораторных условиях.
