A Palo Alto Networks alertou nesta quarta-feira que atores de ameaça estão explorando as vulnerabilidades PHP2Shell, recém-corrigidas, contra interfaces de gerenciamento acessíveis pela internet. As falhas afetam o PHP, linguagem de programação usada em aplicações web.
“Há exploração ativa observada contra a interface de gerenciamento da Palo Alto Networks exposta à internet”, afirmou a empresa de cibersegurança em uma atualização de seu comunicado.
As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619 (identificadores CVE, sigla de Common Vulnerabilities and Exposures, usados para catalogar falhas de segurança; pontuações CVSS, sigla de Common Vulnerability Scoring System, sistema de pontuação de gravidade: 9,2), permitem que invasores obtenham execução remota de código sem autenticação em sistemas que executam versões afetadas do PHP. As falhas foram corrigidas na origem pela PHP Foundation em 21 de outubro de 2026, nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
O caso surge poucos dias depois de a empresa israelense de cibersegurança Dream afirmar ter observado um suposto ator de ameaça com vínculos com a China explorando as falhas em conjunto com uma vulnerabilidade de escalonamento de privilégios locais no núcleo do Linux (kernel), identificada como Fragnesia (CVE-2026-46300, pontuação CVSS: 7,8), para obter privilégios de root, ou seja, de administrador máximo, em 25 servidores nos EUA, Japão, Taiwan e Coreia do Sul.
Entre eles estavam três sistemas pertencentes a um ambiente vinculado ao governo dos EUA.
“Os dispositivos afetados executam versões específicas do software de firewall de um grande fornecedor”, observou a Dream. “O atacante então lançou ataques contra o Active Directory. Os artefatos recuperados confirmam a extração de credenciais e a enumeração de diretórios.”
Embora a Dream não tenha revelado o nome do fornecedor do firewall afetado, o momento do comunicado, somado ao fato de que outras empresas de cibersegurança não relataram exploração maliciosa contra seus produtos, sugere que esses eventos podem estar relacionados.
O The Hacker News entrou em contato com a Dream e com a Palo Alto Networks para comentar o caso e atualizará a matéria caso receba resposta.
O caso levou a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) a incluir o CVE-2026-46300 em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), exigindo que as agências federais apliquem as correções até 31 de outubro de 2026.
“Esta vulnerabilidade pode ser encadeada com o CVE-2026-109618 e o CVE-2026-109619 para instalar webshells PHP e executar comandos como root”, afirmou a CISA.
A Palo Alto Networks também observou que nenhuma configuração especial é necessária para ser afetado por esse problema e que o risco é maior no PAN-OS (sistema operacional dos firewalls da Palo Alto Networks) quando o acesso à interface de gerenciamento é permitido a partir de endereços IP (protocolo de internet) externos, na internet.
“Este problema afeta estritamente a interface web de gerenciamento, que inclui a interface web HTTPS (protocolo seguro de transferência de hipertexto) e o serviço de API XML (interface de programação de aplicações)”, afirmou a empresa. “Ele afeta a interface de plano de dados somente se um perfil de gerenciamento estiver associado a ela.”
As seguintes versões do PAN-OS são afetadas pelo PHP2Shell:
- PAN-OS 12.2
- Versões anteriores a 12.2.4-h1 (correção disponível em 12.2.4-h1 ou superior)
- PAN-OS 12.1
- Versões anteriores a 12.1.4-h13 (correção disponível em 12.1.4-h13 ou superior; previsão de conclusão: 29/10)
- Versões anteriores a 12.1.7-h11 (correção disponível em 12.1.7-h11 ou superior)
- Versões anteriores a 12.1.10-h3 (correção disponível em 12.1.10-h3 ou superior; previsão de conclusão: 30/10)
- PAN-OS 11.2
- Versões anteriores a 11.2.4-h23 (correção disponível em 11.2.4-h23 ou superior; previsão de conclusão: 30/10)
- Versões anteriores a 11.2.7-h23 (correção disponível em 11.2.7-h23 ou superior)
- Versões anteriores a 11.2.10-h16 (correção disponível em 11.2.10-h16 ou superior)
- Versões anteriores a 11.2.13-h4 (correção disponível em 11.2.13-h4 ou superior)
- Versões anteriores a 11.2.16-h1 (correção disponível em 11.2.16-h1 ou superior)
- PAN-OS 11.1
- Versões anteriores a 11.1.4-h38 (correção disponível em 11.1.4-h38 ou superior)
- Versões anteriores a 11.1.6-h40 (correção disponível em 11.1.6-h40 ou superior)
- Versões anteriores a 11.1.7-h12 (correção disponível em 11.1.7-h12 ou superior; previsão de conclusão: 30/10)
- Versões anteriores a 11.1.10-h36 (correção disponível em 11.1.10-h36 ou superior)
- Versões anteriores a 11.1.13-h16 (correção disponível em 11.1.13-h16 ou superior)
- Versões anteriores a 11.1.16-h4 (correção disponível em 11.1.16-h4 ou superior)
- PAN-OS 10.2
- Versões anteriores a 10.2.7-h39 (correção disponível em 10.2.7-h39 ou superior; previsão de conclusão: 30/10)
- Versões anteriores a 10.2.10-h42 (correção disponível em 10.2.10-h42 ou superior; previsão de conclusão: 29/10)
- Versões anteriores a 10.2.13-h27 (correção disponível em 10.2.13-h27 ou superior)
- Versões anteriores a 10.2.16-h12 (correção disponível em 10.2.16-h12 ou superior)
- Versões anteriores a 10.2.18-h13 (correção disponível em 10.2.18-h13 ou superior)
Para as versões do PAN-OS que ainda não têm correção disponível, a Palo Alto Networks recomendou as seguintes mitigações:
- Direcionar o tráfego de entrada da porta de gerenciamento (MGT) por uma porta de dados (DP), por exemplo, habilitando um perfil de gerenciamento em uma interface DP para acesso de gerenciamento.
- Substituir o certificado usado no tráfego de entrada de gerenciamento.
- Descriptografar o tráfego de entrada destinado à interface de gerenciamento para que o firewall possa inspecioná-lo.
- Habilitar a prevenção contra ameaças no tráfego de entrada para os serviços de gerenciamento.
“Clientes com o Frontier Virtual Patching (ATP Plus) nas versões 12.2.4 e posteriores do PAN-OS receberam cobertura antecipada, liberada por meio do identificador de ameaça 543004, lançado às 22h21 (horário do Pacífico) de 20 de outubro”, afirmou a empresa.
“O risco de segurança representado por esse problema no PAN-OS e no Panorama é minimizado ao restringir o acesso à interface de gerenciamento apenas a endereços IP internos confiáveis, de acordo com nossas diretrizes de implantação recomendadas como melhor prática.”
Palo Alto Networks confirma relatório da Dream
“Estamos cientes do relatório da Dream que descreve atividades de exploração não autorizadas contra interfaces de gerenciamento do PAN-OS expostas à internet”, disse um porta-voz da Palo Alto Networks ao The Hacker News.
“Clientes que aplicaram as correções disponíveis não são afetados. Além disso, clientes que seguem nossa recomendação padrão de não expor a interface de gerenciamento à internet pública também não são afetados.”
Em uma atualização de seu relatório de ameaças, a Palo Alto Networks recomenda que os clientes sigam os passos abaixo:
- Remover imediatamente o acesso público à internet das interfaces de gerenciamento, caso esteja habilitado.
- Restringir o acesso a endereços IP internos confiáveis.
- Aplicar as correções disponíveis do PAN-OS que tratam do PHP2Shell.
“Com base em dados do nosso produto Xpanse de gerenciamento de superfície de ataque, apenas uma pequena fração de um por cento (menos de 0,01%) da nossa base global instalada tem interfaces de gerenciamento configuradas e expostas à internet, e cada um desses clientes potencialmente afetados foi contatado individualmente por nossas equipes”, acrescentou o porta-voz. “Continuaremos investigando e forneceremos as atualizações necessárias assim que estiverem disponíveis.”
(A notícia foi atualizada após a publicação para incluir uma resposta da Palo Alto Networks.)
