Palo Alto Networks waarschuwt dat aanvallers PHP2Shell misbruik maken van recent gepatchte PHP-kwetsbaarheden. De uitbuiting richt zich op managementinterfaces die publiek via internet bereikbaar zijn. In advisories wordt expliciet vermeld dat er sprake is van actieve aanvallen.
Voor organisaties die PAN-OS gebruiken is dit extra urgent: de genoemde fouten kunnen leiden tot unauthenticated remote code execution (op afstand code uitvoeren zonder authenticatie). Bovendien kan de aanvalketen worden doorgezet tot hogere privileges, afhankelijk van omgevingsfactoren en aanvullende kwetsbaarheden.
Wat is er precies mis bij PHP2Shell?
De kern van het probleem zit in twee kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. Volgens Palo Alto Networks hebben beide kwetsbaarheden een CVSS-score van 9,2 en stellen ze aanvallers in staat om op systemen met getroffen PHP-versies unauthenticated remote code execution te bereiken.
De patch is upstream door de PHP Foundation geleverd op 21 oktober 2026. In de bron wordt genoemd dat versies zijn bijgewerkt naar 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Het gaat daarbij om de onderliggende PHP-componenten die in de getroffen PAN-OS management stack voorkomen.
Waarom raakt dit vooral internetexposed management?
Palo Alto Networks geeft aan dat er geen bijzondere extra configuratie nodig is om geraakt te worden. De hoogste risico’s hangen samen met één simpele factor: toegang tot de managementinterface vanaf externe IP-adressen.
De impact is gekoppeld aan de management webinterface. Dat omvat de HTTPS web UI en de XML API. Het datavlak wordt alleen meegnomen als er een managementprofiel op is aangesloten.
Welke PAN-OS versies zijn (mogelijk) getroffen?
De bron bevat een uitgebreide lijst met PAN-OS releases die kwetsbaar zijn, op basis van voorwaarden rondom fixversies. Hieronder staat de essentie: alle genoemde versies zijn geraakt totdat de bijbehorende “fixed in”-versies beschikbaar zijn (of totdat de organisatie tijdig naar die versies migreert).
Impact per grote versie
- PAN-OS 12.2: kwetsbaar bij versies < 12.2.4-h1 (fixed in >= 12.2.4-h1).
- PAN-OS 12.1: kwetsbaar bij meerdere builds hieronder; fixes zijn gepland/aanwezig in de ranges die in het advisory worden genoemd (met ETA’s voor sommige releases).
- PAN-OS 11.2: kwetsbaar bij builds onder 11.2.4-h23 en verschillende latere fixed-iteraties.
- PAN-OS 11.1: kwetsbaar bij builds onder de genoemde fixniveaus (met o.a. ETA’s voor bepaalde updates).
- PAN-OS 10.2: kwetsbaar bij versies onder de genoemde fixniveaus.
Let op: de exacte “fixed in”-niveaus lopen per release. De veiligste aanpak is daarom: vergelijk de versie/build die je draait met de fixed-voorwaarden in de advisory van Palo Alto Networks en plan de update direct.
Wat zeggen onderzoekers over een keten naar root?
Naast de PHP2Shell-kwetsbaarheden komt er in de bron een tweede element naar voren. Een Israëlische cybersecurityorganisatie meldde dat een vermoedelijke actor met een “China-nexus” deze kwetsbaarheden combineerde met een lokale privilege-escalatie bug in de Linux kernel.
Die lokale kwetsbaarheid heet Fragnesia (CVE-2026-46300, CVSS 7,8). Volgens de bron leidde dit tot het “rooten” van 25 servers in de Verenigde Staten, Japan, Taiwan en Zuid-Korea, waaronder drie systemen binnen een omgeving die gelieerd is aan de Amerikaanse overheid.
CISA heeft CVE-2026-46300 toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus. Voor federale organisaties geldt een deadline: 31 oktober 2026 voor het doorvoeren van fixes.
CISA merkt daarbij op dat de kwetsbaarheid gekoppeld kan worden met de PHP2Shell-fouten om PHP web shells te implanteren en commando’s uit te voeren met root.
Welke mitigaties zijn er als fixes nog niet beschikbaar zijn?
Voor PAN-OS versies waarbij fixversies nog niet beschikbaar zijn, noemt Palo Alto Networks meerdere mitigaties. Deze maatregelen zijn bedoeld om het aanvalspad te verkleinen of de mogelijkheden van een aanval in te perken.
- Routeer inkomend verkeer voor de MGT-poort via een DP-poort, bijvoorbeeld door een managementprofiel op een dataplane-interface te gebruiken voor managementtoegang.
- Vervang het certificate voor inbound management traffic.
- Decrypt inbound traffic voor de managementinterface zodat de firewall verkeer kan inspecteren.
- Enable threat prevention op inbound traffic voor managementdiensten.
Daarnaast geldt een best practice waar Palo Alto Networks op wijst: beperk de toegang tot de managementinterface tot alleen vertrouwde interne IP-adressen. Dat verkleint niet alleen het risico op misbruik, maar vermindert ook het “internet-exposed” oppervlak.
Wat betekent dit praktisch voor jouw organisatie?
Omdat PHP2Shell misbruik actief is waargenomen, is wachten geen optie. Begin met inventariseren en eindig met beperken en patchen.
- Controleer PAN-OS en bouwversies van alle firewalls met managementinterfaces die bereikbaar zijn vanaf externe netwerken.
- Beperk managementtoegang tot trusted IP-adressen. Zorg dat er geen route of exposure is waardoor de web UI en XML API publiek bereikbaar zijn.
- Plan een patchronde naar de fixed-versies die in het advisory worden genoemd. Leg de focus op de managementcomponenten, niet alleen op algemene updates.
- Overweeg detectie en incidentrespons: als een organisatie kans loopt op uitbuiting, moet men ook kijken naar sporen die passen bij web shell-activiteit en latere command execution.
Als je eerder te maken had met vergelijkbare uitbuitpatronen via webinterfaces, kunnen je bestaande procedures voor kwetsbaarheidsbeheer en loganalyse snel van toepassing zijn. Gerelateerd onderwerp: ook bij andere sandbox- en webcomponent issues is het belangrijk om snel de exposure te verminderen en te patchen.
Lees bijvoorbeeld ook: Logic bugs breken Microsoft Edge sandbox: zo werkt het. Dat artikel gaat weliswaar over een ander product, maar het onderstreept hetzelfde principe: zodra een kwetsbaarheid actief wordt uitgebuit, is beperken van aanvalsvlak en snelle mitigatie cruciaal.
Conclusie: patch en sluit het internet-exposure-pad
De waarschuwing van Palo Alto Networks laat zien dat PHP2Shell misbruik via internetexposed managementinterfaces een reële en actieve dreiging is. Omdat de kwetsbaarheden unauthenticated remote code execution mogelijk maken, is directe actie nodig.
Focus daarom op drie dingen: verifieer je PAN-OS versies, patch naar de fixed builds en beperk managementtoegang tot alleen vertrouwde interne IP-adressen. Combineer dit met alertheid op ketenaanvallen die verder kunnen gaan dan de initiële exploit.
Bron: https://thehackernews.com/2026/10/attackers-exploit-php2shell-flaws-in.html
