Dream berichtete von einer Kampagne, bei der Angreifer mit PHP2Shell und der Linux-Kernel-Lücke Fragnesia Root-Zugriff auf 24 Palo Alto Networks PAN-OS-Firewalls sowie einen internen Firewall-Verwaltungsserver erlangten. Das waren insgesamt 25 Systeme. Den internen Server griffen die Angreifer laut Dream am 24. Oktober 2026 um 11:35 UTC an; Kampagnenartefakte entdeckte das Forschungsteam am 25. Oktober. Dreams Untersuchung beschreibt die Angriffskette und die betroffenen Systeme im Detail.

24 Firewalls und ein interner Verwaltungsserver

Die betroffenen Firewalls standen laut Dream in den USA, Japan, Taiwan und Südkorea. Drei Systeme waren mit einer US-Regierungsorganisation verbunden: zwei Firewalls und der interne Verwaltungsserver.

Dream zufolge erfasste der Angreifer zunächst etwa 19.000 exponierte Firewalls. Rund 5.000 lieferten Versionsinformationen; nach weiteren Filtern blieben 240 Ziele. Palo Alto Networks’ Threat-Intelligence-Team Unit 42 überprüfte laut Dream unabhängig die Werkzeuge des Angreifers und die Ergebnisse.

Eine auf PAN-OS zugeschnittene Angriffskette

PHP2Shell bezeichnet die beiden PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619. Dream beschreibt eine eigens für PAN-OS angepasste, nicht öffentliche Implementierung, die auf den Verwaltungswebserver zielte. Dieser stellt auch das GlobalProtect-Portal bereit. Die Angreifer nutzten dabei laut Dream PHPs session.upload_progress-Mechanismus.

Die erste Stufe ermöglichte dem Bericht zufolge PHP-Codeausführung unter dem eingeschränkten Benutzerkonto nobody. Anschließend nutzten die Angreifer Fragnesia, die Linux-Kernel-Schwachstelle CVE-2026-46300, um ihre Rechte bis zu Root-Zugriff auszuweiten. Dream ordnet die Lücke dem XFRM-Subsystem für ESP-in-TCP zu und beschreibt, dass sie Änderungen an lokalen Authentifizierungsdaten ermöglichte.

Dream nennt PHP 8.0.30 in Profilen von PAN-OS 12.1 und 12.2. In einem Labor bestätigte das Forschungsteam PHP-Remote-Codeausführung in einem PAN-OS-11.1-Profil mit PHP 7.4.33; dieses Profil war jedoch nicht auf die vollständige Angriffskette abgestimmt. NeoTeo hatte zuvor über PHP2Shell-Versuche im Umfeld des SuperTuxKart-Onlinedienstes berichtet. Dream schildert eine Kampagne gegen PAN-OS-Firewalls mit einer anschließenden Rechteausweitung durch Fragnesia.

Der Tunnel führte ins interne Netz

Zwei der Firewalls aus der US-regierungsnahen Umgebung nutzten die Angreifer laut Dream für einen tieferen Vorstoß. Dafür richteten sie einen Reverse-SSH-Tunnel ein, der acht interne Ports weiterleitete und Neustarts überstehen sollte. Über diesen Zugang griffen sie den internen Firewall-Verwaltungsserver an.

Dream fand auf 22 der 24 kompromittierten Firewalls Webshells. In den Aufzeichnungen war bei diesen Systemen nach dem ersten Zugriff keine weitere Aktivität vermerkt. Rund 40 maßgeschneiderte Skripte gehörten ebenfalls zu den gefundenen Kampagnenartefakten.

Welche internen Daten betroffen waren

Dream berichtete, dass die Angreifer ein LDAP-Dienstkontopasswort entschlüsselten und Nutzer sowie Gruppen in Active Directory aufzählten. Außerdem fanden sich private Schlüssel aus PAN-OS-Dateisystemen und Informationen zur Netzwerktopologie.

Anhand der wiederhergestellten Artefakte konnte Dream nicht feststellen, ob anschließende Password-Spraying-Versuche, das Anlegen von Hintertürkonten oder der Diebstahl eines SAML-Signaturschlüssels erfolgreich waren.