Palo Alto Networks ha confermato attacchi in corso che sfruttano le vulnerabilità PHP2Shell (CVE-2026-109618 e CVE-2026-109619) contro i firewall PAN-OS: nel bollettino di sicurezza aggiornato il 28 ottobre l’azienda indica di aver osservato uno sfruttamento attivo che prende di mira l’interfaccia di gestione esposta su Internet. Il 27 ottobre la gravità è stata alzata a “critica” (punteggio 9.2) e l’urgenza al livello massimo.
PHP2Shell su PAN-OS: cosa è colpito
Le due falle, che riguardano l’interprete PHP e consentono l’esecuzione di codice da remoto, erano già state inserite dalla CISA nel catalogo delle vulnerabilità sfruttate, come raccontato nel nostro articolo su PHP2Shell e la scadenza del 29 ottobre. Secondo Palo Alto Networks sono interessate le versioni 10.2, 11.1, 11.2, 12.1 e 12.2 di PAN-OS sui firewall PA-Series e VM-Series e su Panorama.
Il problema riguarda soltanto l’interfaccia web di gestione (la web UI in HTTPS e la XML API) e le interfacce del dataplane solo se hanno un profilo di gestione associato. Il produttore precisa che GlobalProtect e Captive Portal non sono coinvolti, così come Cloud NGFW e Prisma Access. Il bollettino non indica quanti attacchi siano stati rilevati né quali organizzazioni siano state colpite.
Le versioni correttive e le date previste
Palo Alto Networks sta distribuendo hotfix per ogni ramo supportato. Tra le versioni già indicate come correttive ci sono 12.2.4-h1, 12.1.7-h11, 11.2.7-h23, 11.2.10-h16, 11.2.13-h4, 11.2.16-h1, 11.1.4-h38, 11.1.6-h40, 11.1.10-h36, 11.1.13-h16, 11.1.16-h4, 10.2.13-h27, 10.2.16-h12 e 10.2.18-h13.
Per alcune versioni il rilascio è ancora atteso: 12.1.4-h13 e 10.2.10-h42 sono previste per il 29 ottobre, mentre 12.1.10-h3, 11.2.4-h23, 11.1.7-h12 e 10.2.7-h39 per il 30 ottobre. Chi usa versioni non più supportate deve passare a una release supportata e corretta. Secondo l’azienda gli stessi hotfix risolvono anche la falla legata a Brotli, tranne 11.2.10-h16 (solo PHP): in quel ramo la versione 11.2.10-h17 le corregge entrambe.
Firewall PAN-OS, perché la gestione è il punto debole
Nel podcast Stormcast del 28 ottobre lo SANS Internet Storm Center ha ricordato che alcuni dispositivi non sempre supportano l’ASLR, la tecnica che rende casuale la posizione del codice in memoria, e questo rende più semplice lo sfruttamento. Il rischio maggiore riguarda quindi i firewall con il pannello di amministrazione raggiungibile direttamente da Internet, una configurazione che il produttore sconsiglia da tempo.
L’esposizione dei servizi PHP vulnerabili è un problema diffuso anche in Italia, come emerso dai dati dell’ACN che abbiamo analizzato in PHP2Shell, in Italia vulnerabile l’81,9% dei servizi PHP. Nei giorni scorsi un ricercatore aveva inoltre registrato 35 shell sui propri server esca.
Cosa fare subito
- Installare l’hotfix indicato per la propria versione di PAN-OS o di Panorama non appena è disponibile.
- Limitare l’accesso all’interfaccia di gestione a indirizzi IP interni fidati o a un jump box dedicato: secondo Palo Alto con il solo accesso da jump box il punteggio di rischio scende a 5.2.
- Verificare che nessuna interfaccia del dataplane esposta abbia un profilo di gestione che consenta HTTPS o la XML API.
- Per chi ha Threat Prevention, valutare le firme dedicate (Threat ID 543004 e 97622-97625, con i contenuti 9162 e successivi), che funzionano solo se il traffico di gestione passa da una porta del dataplane, è decifrato e la protezione è attiva.
- Controllare i log di accesso alla gestione alla ricerca di attività anomale e seguire gli aggiornamenti del bollettino, che viene modificato man mano che escono le correzioni.
Fonti: Palo Alto Networks Security Advisory, SANS Internet Storm Center, CISA, BleepingComputer
