Betrifft Sie das?
- Betroffen: eine Firewall von Palo Alto Networks mit PAN-OS-Version 12.1 oder 12.2, deren Verwaltungsseite sich aus dem Internet aufrufen lässt (testen Sie es mit dem Handy über mobile Daten), und Ihre eigenen Server, auf denen PHP läuft.
- Nicht betroffen, wenn: beides nicht zutrifft. Eine Verwaltungsseite, die nur aus dem Büronetz lädt, ist nicht exponiert.
Was tun?
- Nehmen Sie das Management-Interface noch heute vom Internet: nur per VLAN oder VPN.
- Fragen Sie Palo Alto Networks, welcher PAN-OS-Build Ihre Version behebt. Die Firewall bringt ihr eigenes PHP mit, daher behebt das nur Firmware des Herstellers.
- War die Seite erreichbar, seit PHP2Shell in der Woche vom 19. Oktober öffentlich wurde, prüfen Sie die Firewall auf unbekannte PHP-Dateien in per Web erreichbaren Verzeichnissen und ungeklärte ausgehende SSH-Verbindungen, oder lassen Sie das vom Palo-Alto-Support prüfen. Fündig geworden? Gehen Sie von Root-Zugriff und gestohlenen gespeicherten Passwörtern aus; wir würden sie alle ändern.
- Meldet die Firewall Benutzer über Active Directory an, prüfen Sie die Ereignisprotokolle auf Password Spraying, LDAP-Abfragen ihres Dienstkontos und neue Konten.
- Installieren Sie auf eigenen Servern die PHP-Fixes und das Kernel-Update für CVE-2026-46300; bei Managed Hosting fragen Sie den Anbieter.
Was wir wissen – und was nicht
- Laut Dream braucht der eigens entwickelte Exploit des Angreifers, gebaut für das PHP 8.0.30 dieser Plattform, keine Anmeldung und erreicht in unter 15 Minuten eine Web-Shell mit Root-Rechten.
- Über FOFA, eine Suchmaschine für exponierte Geräte, fand der Angreifer rund 19.000 exponierte Firewalls, filterte sie nach Version und Land auf 240 und verschaffte sich auf 24 davon Root-Rechte. Auf 22 davon ließ er nur die Web-Shell zurück.
- Bei einer Organisation mit Verbindung zur US-Regierung tunnelte sich der Angreifer ins interne Netz, verschaffte sich Root auf dem Firewall-Management-Server, entschlüsselte das gespeicherte Passwort des LDAP-Dienstkontos und probierte Passwörter gegen jedes Active-Directory-Konto durch; die Domäne hatte keine Kontosperre. Ob das Password Spraying gültige Passwörter fand, konnte Dream nicht feststellen.
- Laut The Register hat Unit 42 von Palo Alto die Ergebnisse von Dream bestätigt; Hersteller und Versionen stützen sich allein auf den Bericht von The Register.
- GreyNoise hat mindestens sechs erfolgreiche Ausnutzungen von PHP2Shell beobachtet; CISA führt die PHP-Lücken und Fragnesia als ausgenutzt. Von The Record zitierte Experten erwarten, dass die meisten Angriffe einen maßgeschneiderten Exploit brauchen.
- Noch nicht bekannt: welche PAN-OS-Builds oder PHP-Releases das beheben; kein Artikel nennt sie.
Warum das wichtig ist
Aus unserer Sicht liegt die Falle in der Checkliste: Gepatchtes PHP auf den Webservern fühlt sich nach erledigt an, aber kaum jemand zählt die Firewall zu den PHP-Servern. Laut Dream hat der Angreifer seine 19.000 Ziele behalten und kann zurückkommen. Eine Verwaltungsseite, die sich aus dem Internet aufrufen lässt, ist der Teil, den Sie selbst in der Hand haben.