W aktualizacji z 29 października Dream wskazał, że celem kampanii były zapory Palo Alto Networks z systemem PAN-OS. Firma podała też, że jej ustalenia i użyte narzędzia niezależnie zweryfikował zespół Unit 42. Według raportu napastnicy połączyli PHP2Shell z luką jądra Linuksa CVE-2026-46300, uzyskali dostęp na poziomie root do 24 zapór, a później zaatakowali wewnętrzny serwer zarządzania zaporami.

Jak Dream opisał łańcuch ataku

PHP2Shell to wspólna nazwa luk CVE-2026-109618 i CVE-2026-109619 w PHP. Dream twierdzi, że napastnicy użyli przygotowanej na zamówienie, niepublicznej implementacji PHP2Shell, dopasowanej do systemów PAN-OS, i połączyli ją z CVE-2026-46300, podatnością jądra Linuksa umożliwiającą podniesienie uprawnień. Łańcuch miał prowadzić od wykonania kodu w PHP do uzyskania dostępu root na zaporze.

Dream wskazał jako cel serwer zarządzania appweb, który obsługuje również portal GlobalProtect. Według profili opisanych w raporcie PAN-OS 12.1 i 12.2 korzystały z PHP 8.0.30, a profil PAN-OS 11.1 z PHP 7.4.33. Dream zweryfikował w laboratorium zdalne wykonanie kodu z uprawnieniami użytkownika nobody w profilu 11.1, ale nie skalibrował dla niego pełnego łańcucha ataku.

Skąd wzięła się liczba 25 serwerów

Dream rozdziela 24 zapory PAN-OS od zaatakowanego później wewnętrznego serwera zarządzania. To właśnie ten dodatkowy serwer daje łącznie 25 serwerów w opisie firmy. Dream podał, że w pierwszym etapie zidentyfikował około 19 000 zapór dostępnych z internetu. Około 5 000 zwróciło informacje o wersji, a po filtracji według lokalizacji i profilu podatności na liście pozostało 240 urządzeń. Raport przypisuje napastnikom uzyskanie dostępu root do 24 zapór.

Według chronologii Dream pierwszą zaporę zaatakowano 23 października 2026 r. o 18:14 UTC; urządzenie wkrótce potem uległo awarii. Drugą zaporę zaatakowano 24 października o 10:09 UTC. O 11:35 UTC napastnicy wykorzystali tunel, by zaatakować wewnętrzny serwer zarządzania zaporami.

Co ujawniły odzyskane artefakty

Dream podał, że artefakty potwierdziły wykradanie danych uwierzytelniających i przeglądanie katalogów. W przypadku wewnętrznego serwera zarządzania napastnicy mieli także wyliczać konta i grupy LDAP oraz odzyskać hasło konta serwisowego LDAP i klucze prywatne. Dream poinformował, że na 22 z 24 zapór pozostawiono webshelle, czyli skrypty umożliwiające zdalne działania na urządzeniu.

Firma nie ustaliła, czy powiodły się próby masowego zgadywania haseł, tworzenia kont zapasowych ani pozyskania klucza SAML. Nie należy więc utożsamiać opisanych danych uwierzytelniających i kluczy prywatnych z potwierdzeniem powodzenia tych odrębnych działań.

Administratorom przyda się także wcześniejszy artykuł NeoTeo o poprawkach i planie działania dla PHP.

Jakie podatności wymienia alert CISA

Alert CISA z 28 października 2026 r. wymienia dwa nowe wpisy w katalogu znanych, aktywnie wykorzystywanych podatności (KEV): CVE-2026-41709, dotyczącą niewystarczającego rejestrowania zdarzeń w Broadcom VMware ESX, oraz CVE-2026-46300, dotyczącą braku inicjalizacji w jądrze Linuksa. Ta druga luka jest częścią łańcucha opisanego przez Dream. W tym alercie CISA nie wymienia CVE-2026-109618 ani CVE-2026-109619. Alert CISA z 28 października.