Il 24 ottobre 2026 gli aggressori hanno raggiunto un server interno di gestione firewall dopo aver ottenuto accesso root su 24 firewall PAN-OS, secondo Dream Research. La campagna ha coinvolto sistemi negli Stati Uniti, in Giappone, a Taiwan e in Corea del Sud: 25 sistemi in tutto, cioè 24 firewall e un server interno. Dream ha riferito di aver individuato tracce dell’operazione il 25 ottobre.
NeoTeo aveva già seguito i tentativi di PHP2Shell rilevati da AWS e il caso SuperTuxKart. Dream ha riferito invece accessi root riusciti contro firewall PAN-OS.
La campagna ha preso di mira firewall PAN-OS
Dream descrive un attacco contro interfacce di gestione esposte. La selezione partì da circa 19.000 firewall individuati; circa 5.000 restituirono informazioni sulla versione e i filtri ridussero la lista a 240 obiettivi. La campagna segnalata colpì 24 firewall. Tre dei 25 sistemi compromessi erano associati a un ambiente legato al governo statunitense.
Come PHP2Shell e Fragnesia hanno portato a root
PHP2Shell comprende due vulnerabilità del core PHP, CVE-2026-109618 e CVE-2026-109619, che consentono l’esecuzione di codice da remoto (RCE). Dream riferisce che l’implementazione, personalizzata e non pubblica, puntava al server web di gestione di PAN-OS e al meccanismo PHP session.upload_progress. Quel server gestisce anche il portale GlobalProtect.
La catena ha prima eseguito codice PHP con i privilegi limitati dell’utente nobody; poi Fragnesia, una vulnerabilità di escalation dei privilegi nel kernel Linux identificata come CVE-2026-46300, ha consentito di raggiungere root. Dream riferisce PHP 8.0.30 nei profili PAN-OS 12.1 e 12.2. In laboratorio, sul profilo PAN-OS 11.1 con PHP 7.4.33, è stata verificata l’esecuzione remota di codice come nobody; il test non copriva la catena completa. Per il contesto sulle correzioni del runtime, NeoTeo ha riepilogato le versioni PHP che correggono le due falle.
Il tunnel ha portato l’accesso nella rete interna
Dream riferisce che gli aggressori hanno usato un tunnel SSH inverso con otto porte inoltrate per raggiungere servizi interni, compreso il server di gestione firewall. Il tunnel era configurato per sopravvivere ai riavvii. Due firewall associati all’ambiente legato al governo statunitense sono stati usati per il pivot più profondo; il server interno è stato sfruttato il 24 ottobre alle 11:35 UTC.
Sui 24 firewall compromessi, Dream ha trovato webshell su 22, senza altra attività registrata oltre all’accesso iniziale. Gli artefatti recuperati comprendevano anche circa 40 script personalizzati, chiavi private e informazioni sulla topologia di rete. Dream riferisce inoltre che gli aggressori hanno decifrato la password di un account di servizio LDAP e enumerato utenti e gruppi di Active Directory. Non ha potuto determinare se siano riusciti i successivi tentativi di password spraying, creazione di account backdoor o estrazione di chiavi SAML.
Secondo Dream, Unit 42 di Palo Alto Networks ha verificato in modo indipendente gli strumenti e i risultati dell’attacco.
