Wprowadzenie do problemu
Internetowo dostępne urządzenia brzegowe, w tym zapory sieciowe i interfejsy zarządzające, od lat pozostają jednym z najcenniejszych celów dla zaawansowanych napastników. Najnowsza kampania wymierzona w środowiska Palo Alto Networks pokazuje, że połączenie zdalnego wykonania kodu z lokalną eskalacją uprawnień może doprowadzić do pełnego przejęcia urządzenia, a następnie do dalszej penetracji sieci ofiary.
W opisywanym scenariuszu kluczową rolę odegrały podatności określane zbiorczo jako PHP2Shell oraz dodatkowy błąd umożliwiający podniesienie uprawnień do poziomu root. Taki łańcuch ataku znacząco zwiększa wpływ pojedynczej kompromitacji, ponieważ urządzenie bezpieczeństwa staje się przyczółkiem do działań poeksploatacyjnych.
W skrócie
Badacze opisali ukierunkowaną kampanię przeciwko urządzeniom Palo Alto Networks, w której napastnicy łączyli krytyczne podatności PHP2Shell z błędem eskalacji uprawnień, aby uzyskać pełną kontrolę nad wybranymi instancjami PAN-OS. Atak nie miał charakteru masowego, lecz selektywny i poprzedzony był szerokim skanowaniem Internetu.
- wykorzystano łańcuch podatności prowadzący do przejęcia urządzeń,
- atak objął starannie wyselekcjonowane cele,
- po kompromitacji prowadzono rozpoznanie Active Directory i kradzież poświadczeń,
- producent zalecił pilne ograniczenie dostępu do interfejsów zarządzających oraz wdrożenie poprawek.
Kontekst i historia
Kampania wpisuje się w szerszą falę ostrzeżeń dotyczących podatności PHP2Shell, które zwróciły uwagę branży ze względu na możliwość zdalnego wykonania kodu bez uwierzytelnienia. To szczególnie niebezpieczna klasa błędów, ponieważ exploit może zostać uruchomiony jeszcze przed zadziałaniem części mechanizmów kontrolnych na poziomie aplikacji.
W analizowanym przypadku napastnicy nie próbowali infekować wszystkich dostępnych urządzeń. Najpierw prowadzili skanowanie dużej liczby systemów wystawionych do Internetu, następnie identyfikowali podatne konfiguracje i dopiero później wybierali cele o najwyższej wartości operacyjnej. Taki model działania sugeruje kampanię zorientowaną na jakość dostępu i dalsze wykorzystanie przejętych zasobów.
Analiza techniczna
Podstawą incydentu był łańcuch eksploatacyjny. W pierwszym etapie wykorzystano krytyczne podatności PHP2Shell, oznaczane jako CVE-2026-109618 oraz CVE-2026-109619. Błędy tej klasy umożliwiają zdalne wykonanie kodu na systemie przetwarzającym odpowiednio przygotowane żądanie, co w praktyce daje napastnikowi punkt wejścia bez konieczności logowania.
Drugi etap obejmował eskalację uprawnień przy użyciu dodatkowej podatności wysokiego ryzyka, oznaczanej jako CVE-2026-46300. To właśnie ten element łańcucha miał umożliwić przejście z ograniczonego kontekstu wykonania kodu do pełnych uprawnień root. Z perspektywy operacyjnej oznacza to możliwość trwałej modyfikacji konfiguracji, manipulacji regułami bezpieczeństwa, instalacji mechanizmów utrzymania dostępu i dostępu do lokalnie przechowywanych danych uwierzytelniających.
Ważnym elementem kampanii było rozpoznanie przed atakiem. Napastnicy skanowali urządzenia dostępne z Internetu, identyfikowali wersje oprogramowania i filtrowali cele pod kątem podatności. Takie podejście zmniejsza liczbę nieudanych prób, ogranicza hałas w logach i pozwala precyzyjnie dobrać metodę eksploatacji. Wskazano również, że część procesu rozpoznania i selekcji miała być wspierana przez narzędzia automatyzujące analizę.
Po uzyskaniu dostępu do firewalla działania nie kończyły się na samym urządzeniu. Zgłoszone aktywności poeksploatacyjne obejmowały enumerację usług katalogowych, w tym Microsoft Active Directory, oraz kradzież poświadczeń. To pokazuje, że przejęte urządzenie brzegowe zostało potraktowane jako punkt startowy do ruchu bocznego i dalszej kompromitacji środowiska.
Konsekwencje i ryzyko
Skutki takiego incydentu mogą być bardzo poważne, ponieważ firewall lub platforma zarządzająca znajduje się zwykle na styku wielu stref zaufania i przetwarza krytyczny ruch sieciowy. Przejęcie takiego systemu daje napastnikowi uprzywilejowany wgląd w topologię środowiska oraz możliwość wpływania na polityki bezpieczeństwa.
- obejście lub osłabienie reguł bezpieczeństwa,
- podsłuch i przekierowanie ruchu,
- wykradanie poświadczeń administratorów i kont usługowych,
- utrzymanie trwałej obecności w infrastrukturze,
- dalsza kompromitacja systemów katalogowych i zasobów wewnętrznych.
Szczególnie niepokojący jest selektywny charakter operacji. Nawet jeśli liczba skutecznie zaatakowanych urządzeń była ograniczona, potencjalny wpływ pozostaje wysoki, ponieważ dotyczy systemów pełniących funkcje krytyczne i stanowiących centralne punkty kontroli ruchu.
Rekomendacje
Organizacje korzystające z PAN-OS powinny potraktować ten incydent jako sygnał do natychmiastowej weryfikacji ekspozycji interfejsów administracyjnych oraz procedur reagowania. W praktyce kluczowe są zarówno działania ograniczające powierzchnię ataku, jak i pełna ocena możliwej wcześniejszej kompromitacji.
- natychmiast ograniczyć dostęp do interfejsów zarządzających wyłącznie do zaufanych adresów IP, najlepiej przez wydzielone sieci administracyjne, VPN lub hosty pośredniczące,
- bezzwłocznie wdrożyć poprawki PAN-OS oraz wszystkie zalecenia producenta związane z PHP2Shell i komponentami powiązanymi,
- sprawdzić, czy urządzenia były wystawione do Internetu i przeanalizować logi pod kątem nietypowych żądań, fingerprintingu oraz działań administracyjnych poza standardowym harmonogramem,
- przeprowadzić przegląd artefaktów poeksploatacyjnych, w tym zmian konfiguracji, nowych kont, zadań systemowych i śladów dostępu root,
- zweryfikować środowisko Active Directory pod kątem enumeracji, podejrzanych logowań i możliwej kradzieży poświadczeń,
- przeprowadzić rotację haseł, sekretów, kont serwisowych i certyfikatów, jeśli istnieje podejrzenie naruszenia,
- wzmocnić segmentację oraz monitoring ruchu zarządzającego, aby ograniczyć możliwość ruchu bocznego,
- nadać urządzeniom perymetrycznym najwyższy priorytet w procesie zarządzania podatnościami.
Warto podkreślić, że sama instalacja poprawek może nie wystarczyć. Jeżeli urządzenie było osiągalne z Internetu i działało na podatnej wersji, organizacja powinna założyć możliwość wcześniejszej kompromitacji i przeprowadzić pełne dochodzenie.
Podsumowanie
Incydent dotyczący urządzeń Palo Alto Networks potwierdza, że podatności w popularnych komponentach aplikacyjnych mogą bardzo szybko zostać wykorzystane do ataków na infrastrukturę bezpieczeństwa. Połączenie zdalnego wykonania kodu z lokalną eskalacją uprawnień tworzy kompletny łańcuch prowadzący do przejęcia urządzeń brzegowych i dalszej penetracji sieci.
Dla obrońców najważniejsze pozostaje ograniczenie ekspozycji interfejsów administracyjnych, szybkie wdrażanie poprawek oraz traktowanie firewalli i systemów zarządzających jako aktywów najwyższego priorytetu. W realiach współczesnych kampanii APT kompromitacja urządzenia bezpieczeństwa nie jest końcem incydentu, lecz często dopiero początkiem głębszego naruszenia.
Źródła
- Palo Alto Networks firewalls compromised in chained attacks using PHP2Shell — https://www.cybersecuritydive.com/news/palo-alto-networks-firewalls-compromised-chained-attacks-php2shell/873323/
- Oracle Security Alert Advisory – CVE-2026-109618 and CVE-2026-109619 — https://www.oracle.com/security-alerts/alert-cve-2026-109618.html
- PHP2Shell Vulnerabilities Allow Remote Code Execution in PHP Runtimes — https://www.broadcom.com/support/security-center/protection-bulletin/php2shell-vulnerabilities-allow-remote-code-execution-in-php-runtimes
- AL26-026 – Critical vulnerabilities impacting PHP – CVE-2026-109618 and CVE-2026-109619 – Update 2 — https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619
- Attackers Exploit PHP2Shell Flaws in Internet-Exposed Palo Alto Networks Management Interfaces — https://thehackernews.com/2026/10/attackers-exploit-php2shell-flaws-in.html