Nell’aggiornamento del 29 ottobre 2026, Dream Security ha identificato i sistemi coinvolti in una campagna PHP2Shell come firewall Palo Alto Networks con PAN-OS e ha riferito che Unit 42 ha verificato in modo indipendente gli strumenti e i risultati. Dream descrive 24 firewall con accesso root e un successivo attacco a un server interno di gestione, per un totale di 25 server nel proprio resoconto.
La catena di exploit contro PAN-OS
Secondo Dream, l’attacco combinava PHP2Shell, che comprende le vulnerabilità CVE-2026-109618 e CVE-2026-109619, con la vulnerabilità del kernel Linux CVE-2026-46300, chiamata Fragnesia. L’obiettivo era il server web di gestione appweb di PAN-OS, che gestisce anche il portale GlobalProtect. Dream descrive l’implementazione PHP2Shell come personalizzata e adattata alle versioni del sistema.
Dream associa i profili PAN-OS 12.1 e 12.2 a PHP 8.0.30. Il profilo 11.1 usava PHP 7.4.33: Dream riferisce di aver verificato in laboratorio l’esecuzione di codice remoto con i privilegi dell’utente nobody, ma non di aver calibrato per quel profilo l’intera catena di exploit.
Da 24 firewall a un server interno
Dream colloca il primo accesso root su un firewall il 23 ottobre alle 18:14 UTC. L’apparato, appartenente a un ambiente legato al governo statunitense, si bloccò poco dopo. Il 24 ottobre alle 10:09 UTC fu attaccato un secondo firewall associato alla stessa organizzazione. Alle 11:35 UTC, secondo Dream, gli aggressori usarono un tunnel per raggiungere il server interno di gestione dei firewall.
La distinzione spiega il totale riportato da Dream: 24 firewall compromessi, più quel server interno attaccato in seguito. Dream afferma inoltre che 22 firewall furono lasciati con webshell, strumenti che consentono l’esecuzione di comandi sul sistema.
Gli artefatti e le attività successive
Dream riferisce che i log recuperati documentavano la verifica dell’accesso root tramite il comando id, eseguito attraverso una webshell. Gli artefatti indicavano anche l’estrazione di credenziali e l’enumerazione di directory. Dal server interno, secondo l’azienda, gli aggressori ricavarono informazioni su account e gruppi LDAP, la password di un account di servizio LDAP e chiavi private.
Dream non è riuscita a determinare se siano riusciti anche il password spraying, la creazione di account backdoor o l’estrazione di chiavi SAML. Queste attività avrebbero potuto ampliare l’accesso alla rete, ma il loro esito resta distinto dagli accessi e dai dati che Dream dice di aver ricostruito.
Per il contesto sulle correzioni PHP e sulle misure per gli amministratori, consulta anche l’articolo di NeoTeo sulle versioni corrette e le misure per PHP2Shell.
I CVE elencati nell’allerta CISA
L’allerta pubblicata da CISA il 28 ottobre 2026 indica due nuove voci nel catalogo delle vulnerabilità sfruttate: CVE-2026-41709, relativa a Broadcom VMware ESX, e CVE-2026-46300, relativa al kernel Linux e parte della catena descritta da Dream. CISA ha pubblicato l’allerta con i due identificativi.
