A Dream relatou que uma campanha combinou PHP2Shell e Fragnesia para obter acesso de root a 24 firewalls Palo Alto Networks PAN-OS e a um servidor interno de gerenciamento. O ataque ao servidor ocorreu em 24 de outubro de 2026; a equipe disse ter encontrado artefatos da campanha no dia seguinte. Ao todo, são 25 sistemas, não 25 firewalls de perímetro.
A campanha atingiu firewalls nos Estados Unidos, no Japão, em Taiwan e na Coreia do Sul. A Dream afirmou que a Unit 42, equipe de inteligência da Palo Alto Networks, verificou de forma independente as ferramentas e os resultados da invasão.
O alcance relatado da campanha
A busca pelos alvos passou por várias etapas, segundo a Dream: cerca de 19 mil firewalls expostos foram identificados, aproximadamente 5 mil retornaram informações de versão e uma triagem reduziu a lista a 240 possíveis alvos. A equipe relatou acesso de root em 24 firewalls e, após um pivô para a rede interna, em um servidor de gerenciamento.
Três sistemas foram associados a um ambiente ligado ao governo dos Estados Unidos: dois firewalls e o servidor interno. Em 22 dos 24 firewalls comprometidos, a Dream encontrou webshells e não registrou atividade posterior além do acesso inicial. Dois firewalls ligados à organização foram usados para avançar pela rede.
Como PHP2Shell e Fragnesia foram encadeados
PHP2Shell reúne as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, que permitem execução remota de código. A implementação usada na campanha era personalizada e direcionada ao PAN-OS, segundo a Dream. Ela explorava o servidor web de gerenciamento, que também atende o portal GlobalProtect, e o mecanismo session.upload_progress do PHP.
A execução inicial ocorreu como nobody, um usuário restrito do sistema. Em seguida, os invasores usaram Fragnesia, a vulnerabilidade de elevação de privilégios do kernel Linux CVE-2026-46300, para chegar a root. A Dream descreveu essa etapa como uma alteração de dados locais de autenticação.
A Dream identificou PHP 8.0.30 nos perfis PAN-OS 12.1 e 12.2. Em laboratório, a equipe verificou execução remota de código PHP em um perfil PAN-OS 11.1 com PHP 7.4.33, mas esse perfil não foi calibrado para a cadeia completa. Esses perfis delimitam o que a campanha relatada demonstra sobre versões do PAN-OS.
Em outro episódio relacionado às falhas, a equipe do SuperTuxKart anunciou que exigiria a redefinição de senhas quando seu serviço online voltasse. A NeoTeo cobriu essa decisão em reportagem anterior.
O pivô do firewall para a rede interna
A Dream relatou que os invasores montaram um túnel SSH reverso para encaminhar o tráfego por oito portas internas e alcançar serviços da rede. O túnel foi configurado para sobreviver a reinicializações. Por esse caminho, os invasores chegaram ao servidor interno de gerenciamento de firewalls.
Os artefatos recuperados incluíam cerca de 40 scripts personalizados, chaves privadas extraídas dos sistemas de arquivos PAN-OS e informações completas sobre a topologia da rede, segundo a Dream.
Credenciais e enumeração do Active Directory
A campanha também resultou na extração de uma senha de conta de serviço LDAP e na enumeração de usuários e grupos do Active Directory. A Dream não conseguiu determinar se as tentativas posteriores de password spraying, criação de contas backdoor ou extração de chaves de assinatura SAML tiveram sucesso.
