Palo Alto Networks wydało ostrzeżenie dotyczące aktywnego wykorzystywania podatności PHP2Shell (CVE-2026-109618 oraz CVE-2026-109619) przeciwko interfejsom zarządzania ich urządzeń. Luki te mają krytyczny priorytet (CVSS 9.2) i pozwalają nieautoryzowanym napastnikom na zdalne wykonanie kodu (RCE) w systemach korzystających z podatnych wersji PHP.
Zauważono, że grupy powiązane z Chinami łączą te błędy z luką w jądrze Linux (Fragnesia, CVE-2026-46300), co umożliwia eskalację uprawnień do poziomu roota. Takie łańcuchy ataków były wykorzystywane do przejmowania serwerów w USA, Japonii, Tajwanie i Korei Południowej, w tym w środowiskach powiązanych z rządem USA.
Problem dotyczy interfejsu webowego HTTPS oraz usługi XML API. Ryzyko jest największe w systemach PAN-OS, gdy dostęp do interfejsu zarządzania jest dozwolony z zewnętrznych adresów IP. Producent wskazał konkretne wersje PAN-OS wymagające aktualizacji lub wdrożenia środków zaradczych.
Osoby zarządzające infrastrukturą powinny ograniczyć dostęp do interfejsu zarządzania wyłącznie do zaufanych adresów wewnętrznych. W przypadku braku dostępnych jeszcze łatek, zaleca się m.in. trasowanie ruchu dla portu MGT przez port DP lub włączenie inspekcji ruchu przychodzącego.
