攻擊者利用 PHP2Shell 漏洞攻擊公開的 Palo Alto Networks 管理介面

Ravie LakshmananOct 29, 2026漏洞 / 網路安全

Palo Alto Networks 於週三 警告，威脅行為者正利用最近已修補的 PHP2Shell 漏洞，攻擊可公開存取的管理介面。

"已觀察到對外部網路公開的 Palo Alto Networks 管理介面進行的實際利用，" 這家網路安全公司在其諮詢更新中表示。

這些漏洞，分別編號為 CVE-2026-109618 與 CVE-2026-109619（CVSS 分數：9.2），允許攻擊者在執行受影響 PHP 版本的系統上以未授權方式遠端執行程式碼。這些問題於 2026 年 10 月 21 日由 PHP 基金會在 8.5.12、8.4.27、8.3.36 與 8.2.35 版中修補。

此事發生於以色列網路安全公司 Dream 表示，其觀察到一個疑似與中國相關的威脅行為者將這些缺陷與 Linux 核心中的本地許可權提升漏洞（編號 Fragnesia（CVE-2026-46300，CVSS 分數：7.8））結合使用，以取得 25 臺伺服器的 root 許可權，覆蓋美國、日本、臺灣及南韓。

其中三臺系統屬於美國政府相關環境。

"受影響的裝置執行特定版本的大型供應商防火牆軟體，" Dream 指出。"攻擊者接著對 Active Directory 發動攻擊。回收的證據確認了憑證提取與目錄列舉。"

儘管 Dream 未透露受影響防火牆供應商的名稱，諮詢的時機以及 其他 網路安全公司 尚未報告其產品遭受惡意利用，暗示這些事件可能相關。

The Hacker News 已聯絡 Dream 與 Palo Alto Networks 以求回覆，我們將在收到回覆後更新此報導。

此發展促使美國網路安全與基礎建設安全域性（CISA）新增 CVE-2026-46300 至其已知被利用漏洞（KEV）目錄，要求聯邦機構於 2026 年 10 月 31 日前套用修補程式。

"此漏洞可與 CVE-2026-109618 及 CVE-2026-109619 組合使用，以植入 PHP 網頁殼並以 root 身份執行指令，" CISA 表示。

Palo Alto Networks 還指出，無需特殊設定即可受到此問題影響，並補充說明在 PAN-OS 上，當允許來自網際網路的外部 IP 存取管理介面時，風險最高。

"此問題僅影響管理網頁介面，包括 HTTPS 網頁 UI 與 XML API 服務，" 其說明。"除非將管理設定檔附加至資料平面介面，否則不會影響資料平面介面。"

以下 PAN-OS 版本受到 PHP2Shell 影響：

• PAN-OS 12.2
  • < 12.2.4-h1 (已修復於 >= 12.2.4-h1)
• PAN-OS 12.1
  • < 12.1.4-h13 (已修復於 >= 12.1.4-h13) (預計: 10/29)
  • < 12.1.7-h11 (已修復於 >= 12.1.7-h11)
  • < 12.1.10-h3 (已修復於 >= 12.1.10-h3) (預計: 10/30)
• PAN-OS 11.2
  • < 11.2.4-h23 (已修復於 >= 11.2.4-h23) (預計: 10/30)
  • < 11.2.7-h23 (已修復於 >= 11.2.7-h23)
  • < 11.2.10-h16 (已修復於 >= 11.2.10-h16)
  • < 11.2.13-h4 (已修復於 >= 11.2.13-h4)
  • < 11.2.16-h1 (已修復於 >= 11.2.16-h1)
• PAN-OS 11.1
  • < 11.1.4-h38 (已修復於 >= 11.1.4-h38)
  • < 11.1.6-h40 (已修復於 >= 11.1.6-h40)
  • < 11.1.7-h12 (已修復於 >= 11.1.7-h12) (預計: 10/30)
  • < 11.1.10-h36 (已修復於 >= 11.1.10-h36)
  • < 11.1.13-h16 (已於 >= 11.1.13-h16 修正)
  • < 11.1.16-h4 (已於 >= 11.1.16-h4 修正)
• PAN-OS 10.2
  • < 10.2.7-h39 (已於 >= 10.2.7-h39 修正) (ETA: 10/30)
  • < 10.2.10-h42 (已於 >= 10.2.10-h42 修正) (ETA: 10/29)
  • < 10.2.13-h27 (已於 >= 10.2.13-h27 修正)
  • < 10.2.16-h12 (已於 >= 10.2.16-h12 修正)
  • < 10.2.18-h13 (已於 >= 10.2.18-h13 修正)

對於尚未釋出修正版本的 PAN-OS 版本，Palo Alto Networks 建議以下緩解措施 -

• 將進入的 MGT 埠流量路由至 DP 埠，例如在 DP 介面上啟用管理設定檔以進行管理存取。
• 替換進入流量管理的憑證。
• 將進入流量解密至管理介面，讓防火牆能檢查。
• 啟用進入流量至管理服務的威脅防護。

"使用 Frontier Virtual Patching (ATP Plus) 的客戶在 PAN-OS 12.2.4 及以後版本已獲得先行保護，透過 Threat ID 543004 發布，於 10 月 20 日太平洋時間 10:21 PM 釋出，"它說。

"根據我們建議的最佳實踐部署指南，將對管理介面的存取限制於可信的內部 IP 位址，可降低此問題在 PAN-OS 與 Panorama 上帶來的安全風險。"

覺得這篇文章有趣嗎？跟隨我們的 Google News、Twitter 與 LinkedIn，閱讀更多我們發布的獨家內容。