Týká se vás to?
- Koho se to týká: firewall Palo Alto Networks s PAN-OS ve verzi 12.1 nebo 12.2, jehož stránka pro správu se načte z internetu (vyzkoušejte to z telefonu na mobilních datech), a vaše vlastní servery, na kterých běží PHP.
- Netýká se vás, pokud: neplatí ani jedno. Stránka pro správu, která se načte jen zevnitř kanceláře, vystavená není.
Co udělat
- Ještě dnes odpojte rozhraní pro správu od internetu: přístup jen přes VLAN nebo VPN.
- Zeptejte se Palo Alto Networks, které sestavení PAN-OS opravuje vaši verzi. Firewall má vlastní PHP, takže ho opraví jen firmware od výrobce.
- Pokud byla stránka dostupná od zveřejnění PHP2Shell v týdnu od 19. října, zkontrolujte firewall, nebo ho nechte zkontrolovat podporu Palo Alto, zda na něm nejsou neznámé soubory PHP v adresářích dostupných z webu a nevysvětlitelná odchozí spojení SSH. Našli jste něco? Počítejte s tím, že útočník měl root a ukradl uložená hesla; my bychom je změnili všechna.
- Pokud firewall přihlašuje uživatele přes Active Directory, projděte protokoly událostí a hledejte plošné zkoušení hesel (password spraying), dotazy LDAP z jeho servisního účtu a nové účty.
- Na vlastních serverech nainstalujte opravy PHP a aktualizaci jádra kvůli CVE-2026-46300; u spravovaného hostingu se zeptejte poskytovatele.
Co víme – a co ne
- Podle Dream útočníkův vlastní exploit, sestavený pro PHP 8.0.30 této platformy, nepotřebuje přihlášení a k web shellu s právy root se dostane za méně než 15 minut.
- Přes FOFA, vyhledávač vystavených zařízení, našel útočník asi 19 000 vystavených firewallů, podle verze a země je zúžil na 240 a na 24 z nich získal root. Na 22 z nich pak už jen nechal web shell.
- V jedné organizaci napojené na vládu USA se útočník tunelem dostal dovnitř, získal root na serveru pro správu firewallů, dešifroval uložené heslo servisního účtu LDAP a zkoušel hesla na všechny účty Active Directory; doména neměla zamykání účtů. Dream nedokázala určit, zda útočník tímto zkoušením nějaké platné heslo získal.
- Podle The Register zjištění Dream potvrdil tým Unit 42 firmy Palo Alto; výrobce i verze stojí jen na této zprávě.
- GreyNoise zaznamenala nejméně šest úspěšných zneužití PHP2Shell; CISA vede chyby PHP i Fragnesii jako zneužívané. Odborníci, které cituje The Record, očekávají, že většina útoků bude potřebovat exploit na míru.
- Zatím se neví: která sestavení PAN-OS nebo vydání PHP chybu opravují; žádný článek je neuvádí.
Proč na tom záleží
Podle nás je past v kontrolním seznamu: záplatované PHP na webových serverech působí jako hotová věc, ale málokdo počítá firewall mezi servery s PHP. Podle Dream si útočník ponechal svých 19 000 cílů a může se vrátit. Stránka pro správu, která se načte z internetu, je ta část, kterou máte ve svých rukou.