Êtes-vous concerné ?
- Concerné : un pare-feu Palo Alto Networks sous PAN-OS version 12.1 ou 12.2 dont la page d'administration s'ouvre depuis Internet (testez depuis un téléphone en données mobiles), et vos propres serveurs qui font tourner PHP.
- Pas concerné si : aucun des deux cas ne s'applique. Une page d'administration qui ne s'ouvre que depuis le réseau du bureau n'est pas exposée.
Que faire
- Aujourd'hui même, rendez l'interface d'administration inaccessible depuis Internet : accès par VLAN ou VPN uniquement.
- Demandez à Palo Alto Networks quel build de PAN-OS corrige votre version. Le pare-feu embarque son propre PHP : seul un firmware du fabricant le corrige.
- Si la page était accessible depuis que PHP2Shell a été rendu public, la semaine du 19 octobre, vérifiez le pare-feu, ou faites-le vérifier par le support de Palo Alto : cherchez des fichiers PHP inconnus dans des répertoires accessibles par le web et des connexions SSH sortantes inexpliquées. Vous en trouvez ? Partez du principe que l'attaquant a eu le root et a volé les mots de passe enregistrés ; nous les changerions tous.
- Si le pare-feu authentifie les utilisateurs via Active Directory, cherchez dans les journaux d'événements des traces de password spraying, des requêtes LDAP de son compte de service et de nouveaux comptes.
- Sur vos propres serveurs, installez les correctifs PHP et la mise à jour du noyau pour CVE-2026-46300 ; en hébergement géré, interrogez l'hébergeur.
Ce que l'on sait – et ce que l'on ignore
- Selon Dream, l'exploit sur mesure de l'attaquant, conçu pour le PHP 8.0.30 de cette plateforme, ne demande aucune authentification et obtient un web shell root en moins de 15 minutes.
- Avec FOFA, un moteur de recherche d'appareils exposés, l'attaquant a trouvé environ 19 000 pare-feu exposés, les a filtrés par version et par pays jusqu'à 240 et a obtenu le root sur 24 d'entre eux. Sur 22, il s'en est tenu au web shell.
- Dans une organisation liée au gouvernement américain, l'attaquant a ouvert un tunnel vers le réseau interne, obtenu le root sur le serveur de gestion des pare-feu, déchiffré le mot de passe enregistré du compte de service LDAP et tenté des mots de passe sur tous les comptes Active Directory ; le domaine n'appliquait aucune stratégie de verrouillage des comptes. Dream n'a pas pu déterminer si ce password spraying a trouvé des mots de passe valides.
- D'après The Register, l'équipe Unit 42 de Palo Alto a confirmé les conclusions de Dream ; le fabricant et les versions ne reposent que sur ce seul article.
- GreyNoise a observé au moins six exploitations réussies de PHP2Shell ; la CISA classe les failles PHP et Fragnesia comme exploitées. Les experts cités par The Record s'attendent à ce que la plupart des attaques nécessitent un exploit sur mesure.
- Pas encore connu : quels builds de PAN-OS ou quelles versions de PHP corrigent le problème ; aucun article ne les cite.
Pourquoi c'est important
À notre avis, le piège, c'est la checklist : un PHP corrigé sur les serveurs web donne l'impression que c'est réglé, mais peu de gens comptent le pare-feu parmi les serveurs PHP. Selon Dream, l'attaquant a conservé ses 19 000 cibles et peut revenir. Une page d'administration qui s'ouvre depuis Internet, c'est la partie que vous maîtrisez.