Palo Alto Networks meldet aktive PHP2Shell-Angriffe auf Managementschnittstellen
Palo Alto Networks warnte am Mittwoch vor aktiver Ausnutzung der kürzlich behobenen PHP2Shell-Schwachstellen gegen öffentlich erreichbare Managementschnittstellen. Die als CVE-2026-109618 und CVE-2026-109619 geführten Fehler ermöglichen laut dem Unternehmen eine nicht authentifizierte Ausführung von Schadcode auf Systemen mit betroffenen PHP-Versionen. Besonders gefährdet sind PAN-OS- und Panorama-Umgebungen, deren Managementzugang aus dem Internet erreichbar ist.
Die Schwachstellen wurden in PHP am 21. Oktober 2026 behoben. Genannt werden die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für Betreiber von Palo-Alto-Networks-Systemen ist jedoch entscheidend, den PAN-OS-Stand und die Erreichbarkeit der Managementdienste zu prüfen: Nach Angaben des Herstellers ist keine besondere Konfiguration erforderlich, damit ein System betroffen sein kann.
Betroffene PAN-OS-Versionen und Fixes
- PAN-OS 12.2 vor 12.2.4-h1; behoben ab 12.2.4-h1.
- PAN-OS 12.1 vor 12.1.4-h13, 12.1.7-h11 oder 12.1.10-h3; behoben ab dem jeweils genannten Stand.
- PAN-OS 11.2 vor 11.2.4-h23, 11.2.7-h23, 11.2.10-h16, 11.2.13-h4 oder 11.2.16-h1; behoben ab dem jeweils genannten Stand.
- PAN-OS 11.1 vor 11.1.4-h38, 11.1.6-h40, 11.1.7-h12, 11.1.10-h36, 11.1.13-h16 oder 11.1.16-h4; behoben ab dem jeweils genannten Stand.
- PAN-OS 10.2 vor 10.2.7-h39, 10.2.10-h42, 10.2.13-h27, 10.2.16-h12 oder 10.2.18-h13; behoben ab dem jeweils genannten Stand.
Für Versionen, für die der jeweilige Fix noch nicht verfügbar ist, empfiehlt Palo Alto Networks mehrere Maßnahmen: eingehenden Datenverkehr zum MGT-Port über einen Data-Plane-Port zu leiten, das Zertifikat für das Management des eingehenden Datenverkehrs zu ersetzen, eingehenden Datenverkehr zur Managementschnittstelle zu entschlüsseln und den Bedrohungsschutz für die Managementdienste zu aktivieren. Als zentrale Einschränkung nennt der Hersteller, dass das Risiko durch die Beschränkung der Managementschnittstelle auf vertrauenswürdige interne IP-Adressen reduziert wird.
Die Angriffe stehen laut der Berichterstattung möglicherweise im Zusammenhang mit einer weiteren Angriffskette. Dabei soll die lokale Linux-Kernel-Schwachstelle Fragnesia (CVE-2026-46300) zusammen mit den PHP2Shell-Fehlern eingesetzt worden sein, um 25 Server zu kompromittieren. CISA nahm CVE-2026-46300 in den KEV-Katalog auf und setzte für US-Bundesbehörden den 31. Oktober 2026 als Frist für die Anwendung der verfügbaren Fixes. Diese Angaben betreffen die dokumentierte Angriffskette; sie belegen nicht, dass jedes betroffene PAN-OS-System bereits kompromittiert wurde.