A Dream Security atualizou seu relato em 29 de outubro, identificando como firewalls PAN-OS, da Palo Alto Networks, os equipamentos atingidos por uma campanha que combinou as falhas PHP2Shell com uma vulnerabilidade do kernel Linux. A empresa relatou acesso root em 24 firewalls e, depois, um ataque a um servidor interno de gerenciamento, totalizando 25 servidores no relato. A Dream também afirmou que a Unit 42 verificou de forma independente as ferramentas e os resultados descritos.
A cadeia relatada contra o PAN-OS
A Dream diz que a campanha combinou PHP2Shell, nome dado às vulnerabilidades CVE-2026-109618 e CVE-2026-109619, com a CVE-2026-46300, uma falha de escalada de privilégios no kernel Linux que a empresa chama de Fragnesia. A primeira etapa teria atingido o servidor web de gerenciamento appweb, que também fica à frente do portal GlobalProtect; a segunda teria permitido obter acesso root, ou seja, privilégios máximos no sistema.
Segundo a Dream, a implementação do PHP2Shell era própria, não pública e ajustada aos perfis de versão dos equipamentos. A empresa associou os perfis PAN-OS 12.1 e 12.2 ao PHP 8.0.30. Para o perfil 11.1, informou PHP 7.4.33: nesse caso, a execução remota de código com privilégios de nobody foi verificada em laboratório, mas a cadeia completa não foi calibrada.
Quem procura o contexto das correções pode consultar a cobertura anterior da NeoTeo sobre versões corrigidas do PHP e medidas para administradores.
De 24 firewalls a um servidor interno
A Dream relatou que identificou cerca de 19 mil firewalls expostos à internet. Aproximadamente 5 mil responderam com informações de versão; filtros geográficos e de compatibilidade com os perfis do exploit reduziram a lista a 240 alvos, dos quais 24 foram comprometidos com acesso root.
Dos 24 firewalls, 22 ficaram com webshells, programas que permitem acesso remoto ao sistema. Dois, associados a um ambiente ligado ao governo dos Estados Unidos, receberam atenção adicional. A Dream diz que o primeiro foi comprometido em 23 de outubro de 2026, às 18h14 UTC, e caiu pouco depois. O segundo foi explorado em 24 de outubro, às 10h09 UTC; às 11h35 UTC, os invasores usaram um túnel para atingir o servidor interno de gerenciamento de firewalls. Esse servidor é o 25º equipamento na contagem da empresa.
O que a Dream diz ter encontrado
A empresa afirma que os artefatos recuperados registraram a extração de credenciais, a enumeração de diretórios e a verificação de acesso root. No servidor interno, a Dream relata enumeração de contas e grupos LDAP e recuperação da senha da conta de serviço LDAP e de chaves privadas.
A Dream não conseguiu determinar se houve sucesso em três outras ações: tentativa de adivinhar senhas em massa (password spraying), criação de contas de acesso oculto (backdoor) ou extração de chaves SAML. Essas ações, portanto, não entram entre os resultados que a empresa diz ter confirmado.
O que consta no alerta da CISA
Em 28 de outubro, a CISA anunciou duas inclusões no catálogo de vulnerabilidades exploradas: CVE-2026-41709, ligada a registro insuficiente no Broadcom VMware ESX, e CVE-2026-46300, uma falha de inicialização no kernel Linux. Esta última é a vulnerabilidade que a Dream diz ter combinado com PHP2Shell na campanha contra os firewalls. O alerta da CISA lista esses dois CVEs.
