Dream Security berichtet von einer gezielten PHP2Shell-Kampagne gegen internetseitig erreichbare PAN-OS-Verwaltungssysteme. Die Firma zählt in ihrem Bericht 24 kompromittierte Firewalls und einen später angegriffenen internen Firewall-Verwaltungsserver, insgesamt also 25 Server. In einem Update vom 29. Oktober identifizierte Dream Palo Alto Networks als Hersteller der betroffenen Firewalls. Dream zufolge überprüfte Unit 42 die Werkzeuge und Ergebnisse unabhängig.
Wie Dream die Angriffskette beschreibt
Dream zufolge verband die Kampagne PHP2Shell mit der Linux-Kernel-Schwachstelle CVE-2026-46300, um Root-Zugriff auf die betroffenen Firewalls zu erlangen. PHP2Shell bezeichnet die beiden PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619. Der Angriff richtete sich laut Dream gegen den Verwaltungs-Webserver appweb von PAN-OS, der auch das GlobalProtect-Portal bereitstellt.
Dream ordnet seine Profile für PAN-OS 12.1 und 12.2 PHP 8.0.30 zu. Das Profil für PAN-OS 11.1 verwendete laut Dream PHP 7.4.33. In einer Laborumgebung sei dort zwar eine Ausführung von Code mit den Rechten des Benutzers nobody gelungen, die vollständige Angriffskette für dieses Profil habe Dream jedoch nicht kalibriert.
Wer die beiden PHP-Schwachstellen und die Korrekturen dazu einordnen möchte, findet Hintergrund in unserem früheren Beitrag zur PHP-Sicherheitslücke und den betroffenen Versionen.
24 Firewalls und ein interner Verwaltungsserver
Dream berichtet, zunächst rund 19.000 internetseitig erreichbare Firewalls erfasst zu haben. Etwa 5.000 hätten Versionsinformationen geliefert. Nach Filtern anhand von Länderzuordnung und Exploit-Profilen seien 240 Systeme übrig geblieben; 24 Firewalls seien kompromittiert worden. Die Länderfilter umfassten laut Dream die USA, Japan, Taiwan und Südkorea.
Die 25 Server in Dreams Gesamtzahl setzen sich aus den 24 Firewalls und einem später angegriffenen internen Firewall-Verwaltungsserver zusammen. Dream beschreibt den zeitlichen Ablauf so: Die erste Firewall sei am 23. Oktober 2026 um 18:14 UTC kompromittiert worden und kurz darauf abgestürzt. Am 24. Oktober um 10:09 UTC sei eine zweite Firewall derselben Organisation angegriffen worden. Um 11:35 UTC hätten die Angreifer anschließend den internen Verwaltungsserver über einen Tunnel erreicht.
Dream zufolge wurden 22 der 24 Firewalls mit Webshells zurückgelassen. Zwei Firewalls aus einer nicht näher benannten, mit der US-Regierung verbundenen Umgebung hätten zusätzliche Aufmerksamkeit erhalten.
Welche Zugriffe Dream berichtet
Dream zufolge zeigten wiederhergestellte Artefakte, dass Zugangsdaten extrahiert und Verzeichnisstrukturen durchsucht wurden. Über den internen Verwaltungsserver hätten die Angreifer LDAP-Konten und -Gruppen abgefragt; Dream berichtet außerdem von einem erlangten LDAP-Dienstkonto-Passwort und privaten Schlüsseln.
Dream konnte nach eigenen Angaben nicht feststellen, ob Passwort-Spraying, das Anlegen von Hintertür-Konten oder das Auslesen von SAML-Schlüsseln erfolgreich waren. Diese Ergebnisse betreffen mögliche weitere Schritte nach dem Zugriff auf die Systeme.
Was CISA am 28. Oktober aufführte
Die CISA-Meldung vom 28. Oktober 2026 nennt CVE-2026-41709 und CVE-2026-46300 als zwei neue Einträge im Katalog bekanntermaßen ausgenutzter Schwachstellen. CISA führt CVE-2026-41709 für Broadcom VMware ESX und CVE-2026-46300 für den Linux-Kernel auf. Der Linux-Kernel-Fehler ist die Schwachstelle, die Dream als Teil der Angriffskette gegen PAN-OS beschreibt. Die Meldung nennt die beiden PHP2Shell-CVEs nicht.
