Le 29 octobre 2026, Dream a mis à jour son récit d’une campagne visant des pare-feu Palo Alto Networks sous PAN-OS. L’entreprise dit que les attaquants ont associé PHP2Shell à une faille du noyau Linux pour prendre le contrôle de 24 pare-feu, puis viser un serveur interne de gestion. Dream rapporte aussi que l’équipe Unit 42 a vérifié indépendamment les outils et les résultats de l’opération.

Une chaîne visant le serveur de gestion PAN-OS

Dream situe le point d’entrée dans appweb, le serveur web de gestion de PAN-OS, qui sert aussi de portail à GlobalProtect. Selon son enquête, la chaîne combinait PHP2Shell, qui regroupe les failles CVE-2026-109618 et CVE-2026-109619, et CVE-2026-46300, une vulnérabilité du noyau Linux. Dream décrit cette seconde faille comme l’étape qui a permis d’obtenir les privilèges root sur les pare-feu ciblés.

Dream associe les profils PAN-OS 12.1 et 12.2 étudiés à PHP 8.0.30. Son profil PAN-OS 11.1 utilisait PHP 7.4.33 : l’équipe dit y avoir vérifié en laboratoire une exécution de code à distance avec les privilèges de l’utilisateur nobody, mais précise que la chaîne complète n’avait pas été calibrée pour ce profil. L’outil récupéré par Dream était personnalisé et adapté aux versions visées, avec des décalages mémoire propres à chaque profil.

Pour le contexte sur les correctifs PHP2Shell, consultez aussi notre article sur les versions corrigées et les mesures à prendre.

24 pare-feu, puis un serveur interne

Dream rapporte 24 pare-feu PAN-OS compromis. Son total de 25 serveurs comprend aussi un serveur interne de gestion des pare-feu, attaqué après l’accès aux équipements périphériques. Selon la chronologie de Dream, le premier pare-feu a été compromis le 23 octobre à 18 h 14 UTC et a planté peu après. Un second l’a été le 24 octobre à 10 h 09 UTC ; le serveur interne a ensuite été visé à 11 h 35 UTC par l’intermédiaire d’un tunnel.

L’entonnoir décrit par Dream part d’environ 19 000 pare-feu repérés sur Internet. Environ 5 000 ont renvoyé des informations de version ; des filtres géographiques et techniques ont réduit la liste à 240 cibles, dont 24 pare-feu que Dream dit avoir vus compromis. Les pays concernés par le filtrage étaient les États-Unis, le Japon, Taïwan et la Corée du Sud. Ces pays définissent la sélection rapportée par Dream, pas la localisation certaine de chacun des appareils touchés.

Dream indique que 22 des 24 pare-feu ont été laissés avec des webshells, des scripts qui permettent de conserver un accès à distance. Les deux autres ont fait l’objet d’actions supplémentaires. Les artefacts récupérés par l’équipe comprennent des journaux de connexion et des commandes qui, selon Dream, vérifiaient l’accès root.

Ce que Dream a retrouvé dans le réseau interne

Les artefacts décrits par Dream attestent, selon l’entreprise, d’une extraction d’identifiants et d’une énumération de répertoires. L’attaque du serveur interne a aussi permis, d’après son compte rendu, d’énumérer des comptes et des groupes LDAP, ainsi que de récupérer le mot de passe du compte de service LDAP et des clés privées.

Dream n’a pas pu déterminer si les attaquants avaient réussi des tentatives de pulvérisation de mots de passe, créé des comptes de secours ou extrait des clés SAML. Ces actions touchent aux systèmes d’identité de l’organisation, mais leurs résultats ne figurent pas parmi ceux que l’équipe dit avoir établis à partir des artefacts récupérés.

Les vulnérabilités citées par CISA le 28 octobre

Dans son alerte du 28 octobre, la CISA a ajouté au catalogue des vulnérabilités exploitées CVE-2026-41709, qui concerne VMware ESX, et CVE-2026-46300, une faille du noyau Linux également citée dans la chaîne décrite par Dream. L’alerte de la CISA nomme ces deux vulnérabilités.