Palo Alto Networks מדווחת על ניצול פעיל של שתי פגיעויות ההרצה מרחוק ב-PHP (המכונות PHP2Shell) נגד ממשקי הניהול של חומות האש PAN-OS החשופים לאינטרנט. מי שמנהל חומת אש כזו צריך לבדוק עכשיו אם הניהול שלו נגיש מבחוץ.
מה קרה
הפגיעויות CVE-2026-109618 ו-CVE-2026-109619 מאפשרות הרצת קוד ללא אימות, בציון CVSS 9.2 (קריטית). קרן PHP תיקנה אותן ב-21 באוקטובר 2026 בגרסאות 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. לפי היצרנית, הפגיעות נוגעת לממשק הניהול (HTTPS web UI ו-XML API), לא דורשת תצורה מיוחדת, והסיכון הגבוה ביותר הוא כשהניהול פתוח לכתובות אינטרנט. מישור הנתונים מושפע רק אם מוצמד לממשק פרופיל ניהול.
חברת Dream תיארה בנפרד שחקן החשוד כקשור לסין ששילב את הפגיעויות עם CVE-2026-46300 (Fragnesia, העלאת הרשאות בליבת לינוקס) והשתלט על 25 שרתים. הכתבה אינה קובעת שמדובר ב-PAN-OS דווקא, ולכן אין לקשור בין השניים.
נקודות לשים לב
- בדוק שממשק הניהול אינו נגיש מכתובות אינטרנט, והגבל אותו לכתובות פנימיות מהימנות, כפי שמורה מדריך השיטות המומלצות של היצרנית.
- עדכן לגרסה המתוקנת בענף שלך, למשל 11.2.16-h1, 11.1.16-h4 או 12.2.4-h1. חלק מהתיקונים (למשל בענפים 10.2 ו-12.1) עדיין היו מתוזמנים ל-29–30 באוקטובר, אז עיין ב-advisory.
- אם אי אפשר לעדכן מיד: נתב את תעבורת ה-MGT דרך ממשק במישור הנתונים עם פרופיל ניהול, החלף את תעודת הניהול הנכנסת, ואפשר threat prevention על התעבורה הנכנסת.
- ללקוחות עם Frontier Virtual Patching על 12.2.4 ומעלה יש כיסוי דרך Threat ID 543004.
- לא פורסמו אינדיקטורים לפריצה, ולכן חפש פעילות חריגה בלוגי הניהול.
מקורות: Palo Alto Networks Advisory · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
