Dream Security meldde in een update van 29 oktober 2026 dat de PHP2Shell-campagne Palo Alto Networks-firewalls met PAN-OS trof. Dream zei dat Unit 42, het onderzoeksteam van Palo Alto Networks, de aanvalstools en resultaten onafhankelijk had geverifieerd. Volgens Dream combineerden de aanvallers twee PHP-kwetsbaarheden met een fout in de Linux-kernel om rootrechten op firewalls te verkrijgen.
De aanval richtte zich op de beheerinterface
Dream beschrijft een aanvalsketen met PHP2Shell, de gezamenlijke naam voor CVE-2026-109618 en CVE-2026-109619, en CVE-2026-46300 in de Linux-kernel. Die laatste kwetsbaarheid, die Dream Fragnesia noemt, maakte volgens het bedrijf de stap naar rootrechten mogelijk. De aanvallers richtten zich op appweb, de beheerwebserver van PAN-OS die ook de GlobalProtect-portal bedient.
Dream rapporteerde dat de aanval specifieke, voor versies afgestemde geheugenlocaties vereiste en dat de beheerinterface vanaf internet bereikbaar moest zijn. In de onderzochte profielen gebruikten PAN-OS 12.1 en 12.2 PHP 8.0.30. Het profiel voor PAN-OS 11.1 gebruikte PHP 7.4.33; Dream meldde dat uitvoering van code op afstand daarin in een laboratorium was aangetoond, maar dat de volledige aanvalsketen voor die versie niet was afgesteld.
Beheerders die de PHP-fixes en vervolgstappen willen nalopen, kunnen ook NeoTeo’s uitleg over de PHP-kwetsbaarheden en maatregelen lezen.
Dream rapporteerde 24 geroote firewalls en een interne server
Dream beschreef een zoek- en selectietraject dat begon met ongeveer 19.000 gevonden firewalls. Ongeveer 5.000 daarvan gaven versie-informatie terug. Na filters op geografische locatie en aanvalspofielen bleven 240 mogelijke doelen over; Dream meldde dat 24 PAN-OS-firewalls werden geroot. Die aantallen zijn de door Dream beschreven stappen in de campagne, geen telling van getroffen organisaties.
De 25 servers in Dreams totaal zijn 24 firewalls plus één later geëxploiteerde interne firewallbeheerserver. Dream dateerde de eerste aanval op een firewall op 23 oktober 2026 om 18.14 UTC. Die firewall crashte kort daarna. Op 24 oktober om 10.09 UTC werd volgens Dream een tweede firewall van dezelfde organisatie getroffen. Om 11.35 UTC volgde de interne beheerserver, die via een tunnel bereikbaar was.
Dream meldde dat 22 firewalls met webshells achterbleven. Webshells zijn scripts waarmee aanvallers op afstand opdrachten op een server kunnen uitvoeren. Twee firewalls in een aan de Amerikaanse overheid gelieerde omgeving kregen volgens het rapport extra aandacht; via de tweede kwam de interne server in beeld.
Wat de teruggevonden gegevens lieten zien
Dream zegt dat teruggevonden artefacten het uitlezen van inloggegevens en het in kaart brengen van mappen en accounts bevestigden. Op de interne beheerserver werden volgens het bedrijf ook het wachtwoord van een LDAP-serviceaccount en privésleutels teruggevonden. LDAP is een protocol voor het opzoeken en beheren van accounts en groepen.
Dream kon niet vaststellen of pogingen tot password spraying, het aanmaken van achterdeurtjes in gebruikersaccounts of het buitmaken van SAML-sleutels waren geslaagd. SAML-sleutels kunnen worden gebruikt bij het uitwisselen van identiteitsgegevens tussen systemen. De gerapporteerde toegang tot firewalls en de interne server staat daarmee vast binnen Dreams eigen onderzoeksverslag; de uitkomst van die drie verdere acties niet.
Welke kwetsbaarheden CISA op 28 oktober toevoegde
CISA meldde op 28 oktober 2026 twee toevoegingen aan de Known Exploited Vulnerabilities-catalogus: CVE-2026-41709 voor Broadcom VMware ESX en CVE-2026-46300 voor de Linux-kernel. De officiële CISA-melding van 28 oktober noemt dus ook de kernelkwetsbaarheid die Dream beschrijft als onderdeel van de PAN-OS-aanvalsketen.
