A Palo Alto Networks confirmou exploração ativa de CVE-2026-109618 e CVE-2026-109619, conhecidas como PHP2Shell, contra a interface de gerenciamento do PAN-OS e do Panorama exposta à Internet. O aviso foi publicado em 21 de outubro de 2026 e atualizado em 29 de outubro. Na seção Exploitation Status, a fabricante registra que foi observada exploração ativa contra essa interface exposta à Internet. O texto não nomeia ator, volume de compromissos, países ou indicadores de comprometimento. O aviso não carimba o dia 28 como data dessa frase.
Para versões afetadas e estado de correção, a tabela do aviso prevalece sobre listas publicadas no mesmo dia.
Falhas, superfície e condições
PHP2Shell reúne duas falhas de execução remota de código no interpretador PHP, ligadas no aviso ao CWE-754 e ao CAPEC-153. A correção upstream saiu em 21 de outubro de 2026, em PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. No firewall e no Panorama o cliente não substitui o PHP: a correção chega somente por hotfix de PAN-OS.
Em CVE-2026-109618, o tratamento de falta de memória via longjmp() deixa a memória do pedido não inicializada, por falha no controle do fluxo. O aviso descreve execução remota confiável a partir de esgotamento de memória. Em CVE-2026-109619, o tratamento de erro fatal com o mesmo mecanismo deixa memória global apontando para regiões já liberadas, que pedidos seguintes podem ler ou usar como destino de salto. As duas estão em 9.2. O impacto declarado é execução remota sem autenticação e sem configuração especial.
Onde o produto é afetado
O escopo é PAN-OS em firewalls PA-Series e VM-Series e Panorama virtual e M-Series. A superfície é a interface web HTTPS de gerenciamento e a XML API. Interface de dataplane só entra com management profile associado. Portal, gateway e Clientless VPN do GlobalProtect não são afetados, nem o Captive Portal. Versões sem suporte precisam de uma release suportada e corrigida.
A tabela consultada marca como não afetados os demais produtos listados, entre eles Cloud NGFW, linhas Cortex e Prisma, Strata Cloud Manager, GlobalProtect App e os appliances WildFire WF-500 e WF-500-B. Cortex XCORE (SaaS) chegou a ser afetado e foi corrigido em 21 de outubro de 2026; WildFire Cloud, em 22 de outubro. O estado dos appliances WF-500 e WF-500-B foi corrigido para não afetado. CVE-2026-115560, falha PHP posterior e distinta, não tem impacto conhecido em PAN-OS, porque depende de configuração que o produto não usa. A revisão de outros produtos seguia em curso.
Condições de exploração
Não há exigência de credencial, interação do usuário ou opção extra ligada. A condição prática é alcançar a interface de gerenciamento. A complexidade no CVSS é alta; ainda assim, a exploração ativa foi registrada quando essa interface está exposta à Internet.
Gravidade e hotfixes
Em 29 de outubro o aviso trazia urgência Highest, severidade 9.2 Critical, descoberta interna, maturidade de exploit Attacked e esforço de resposta moderado. O vetor é de rede, sem privilégio prévio e sem interação, com impacto alto em confidencialidade, integridade e disponibilidade. A linha do tempo registra a subida para crítica e urgência máxima sem data nessa linha. A pontuação 8.7, vista no início da divulgação, não é o estado atual do aviso.
Se o gerenciamento aceita IPs da Internet, a pontuação oficial é CVSS-BT 9.2 e CVSS-B 9.2, no vetor CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V:D/RE:M/U:Red. Se o único sistema autorizado a alcançar a interface for um jump box, ou servidor de salto, a classificação cai para média: CVSS-BT 5.2 e CVSS-B 7.7. A falha permanece; muda a exposição. O CVSS-B do PHP segue em 9.2.
Pisos de correção
Versão abaixo do hotfix da linha está afetada. Versão igual ou superior está corrigida naquela minor.
- PAN-OS 12.2: 12.2.4-h1 ou posterior
- PAN-OS 12.1: 12.1.4-h13, 12.1.7-h11 ou 12.1.10-h3
- PAN-OS 11.2: 11.2.4-h23, 11.2.7-h23, 11.2.10-h16, 11.2.13-h4 ou 11.2.16-h1
- PAN-OS 11.1: 11.1.4-h38, 11.1.6-h40, 11.1.7-h12, 11.1.10-h36, 11.1.13-h16 ou 11.1.16-h4
- PAN-OS 10.2: 10.2.7-h39, 10.2.10-h42, 10.2.13-h27, 10.2.16-h12 ou 10.2.18-h13
Cada intervalo do aviso aponta o hotfix da minor ou uma release posterior já corrigida do mesmo ramo. Em 29 de outubro, a única ETA visível era 11.1.7-h12, em 30 de outubro. ETAs de pacotes já publicados, como 12.1.4-h13, 12.1.10-h3, 11.2.4-h23, 10.2.7-h39 e 10.2.10-h42, tinham sido removidas. A tabela prevalece sobre listas do mesmo dia que ainda citavam essas previsões. O texto de solução ainda fala, em termos genéricos, em releases futuras. 11.2.10-h16 corrige só o PHP; 11.2.10-h17 também corrige a falha da biblioteca Brotli usada pelo Node.js, coberta nos demais ramos pelo mesmo hotfix.
Três camadas que não se misturam
A Palo Alto Networks confirma exploração contra o gerenciamento exposto, sem ator e sem contagem. A Dream, empresa israelense, descreveu em 28 de outubro uma intrusão sem nomear o fabricante do firewall e disse ter notificado a entidade. A The Hacker News sugeriu relação pelo timing e porque outros fabricantes de segurança de rede não reportaram exploração contra os próprios produtos. Cisco e Fortinet publicaram avisos sobre o PHP; isso não identifica o alvo. Nenhuma das organizações confirmou que os episódios sejam o mesmo.
O que a Dream relatou
No relato, o ator teria nexo suspeito com a China. A cadeia juntaria PHP2Shell a Fragnesia, CVE-2026-46300, de CVSS 7.8, uma escalada local no kernel Linux, com exploit customizado e não público contra servidor de gerenciamento em PHP 8.0.30. São citados cerca de 19 mil firewalls com gerenciamento exposto e um recorte de 240 alvos em ramos recentes com essa versão, nos Estados Unidos, Japão, Taiwan e Coreia do Sul. O texto afirma root em 24 servidores e em um 25.º, interno, alcançado a partir de equipamento já comprometido.
Três sistemas estariam ligados a ambiente afiliado ao governo dos Estados Unidos. Um deixou de responder pouco depois de 23 de outubro de 2026, 18:14 UTC. Outro foi comprometido em 24 de outubro, 10:09 UTC. O interno, por volta das 11:35 UTC do dia 24. A sequência inclui tentativa de acesso a credencial LDAP de conta de serviço, enumeração do Active Directory, pulverização de senhas e tentativa de criar contas de backdoor, sem clareza se isso foi obtido. Indícios de auxílio de IA nesse relatório são atribuição da Dream, não da Palo Alto Networks.
KEV e episódios à parte
Em 26 de outubro, as duas CVEs entraram no catálogo de vulnerabilidades exploradas conhecidas da CISA, com prazo federal de 29 de outubro, ransomware marcado como desconhecido e triagem forense exigida. Os nomes no catálogo são PHP Memory Corruption Vulnerability e PHP Stale Internal Request-State Vulnerability. Em 28 de outubro entrou CVE-2026-46300. Conforme a The Hacker News e rastreadores do catálogo, a entrada associa essa falha de kernel a uma cadeia com as duas do PHP2Shell e indica prazo de 31 de outubro de 2026. O alerta curto desse dia não traz o prazo nem a frase. O alerta de PHP da CISA, de 21 de outubro e revisto em 26, pede inventário do interpretador embutido e correção do que está exposto; no PAN-OS, isso não substitui o hotfix.
A Unit 42 retratou em 25 de outubro a ligação de uma intrusão em agência europeia a estas CVEs. O acesso inicial não foi confirmado: o que se viu ocorreu em aplicação PHP vulnerável, e não é a exploração contra interfaces de gerenciamento. CVE-2026-0322, divulgada em 14 de outubro, é outra falha de gerenciamento do PAN-OS, autenticada, e não é PHP2Shell. Relatos de ransomware nesse cenário em firewalls Palo Alto não estão corroborados publicamente.
Mitigação e validação
Restringir a interface de gerenciamento a IPs internos de confiança é a mitigação principal e, segundo a Palo Alto Networks, minimiza o risco em PAN-OS e Panorama. Não substitui o hotfix. Até o pacote, a interface não deve aceitar tráfego da Internet. Mudança em firewall ou Panorama de produção pede janela, backup da configuração e plano de retorno.
Assinaturas e o caminho do tráfego
Em PAN-OS 12.2.4 e posteriores, o Frontier Virtual Patching, na licença ATP Plus, cobre o caso pelo Threat ID 543004, lançado às 22:21 PT de 20 de outubro de 2026. Threat Prevention, nos conteúdos 9162, 9163, 9164 e posteriores, inclui os Threat IDs 543004, 97622, 97623, 97624, 97625, 97643, 97647, 97649, 97652, 97653, 97656, 97657, 97658, 97659, 97662, 97663, 97664, 97670, 97671, 97672, 97673, 97674, 97676, 97677 e 97678.
Essa cobertura não protege sozinha a porta de gerenciamento dedicada. O aviso exige encaminhar o tráfego de entrada da porta MGT por uma porta de dataplane com management profile, substituir o certificado, descriptografar o tráfego e ativar Threat Prevention nesse fluxo. O guia de acesso administrativo citado no aviso descreve esses passos. O brief da Unit 42 complementa as proteções de produto; não é motivo para adiar o hotfix.
O que conferir no ambiente
Veja se a interface HTTPS ou a XML API responde fora da rede de confiança e se alguma interface de dataplane publica gerenciamento. Cruze a versão instalada com a tabela do aviso, não com ETAs já removidas. Em 11.1.7, o caminho é 11.1.7-h12, com ETA de 30 de outubro na leitura de 29 de outubro, ou 11.1.16-h4 ou posterior. Em 11.2.10, h16 corrige só o PHP; h17 corrige PHP e Brotli. Jump box reduz a pontuação oficial, mas a falha segue até o hotfix.
O passo seguinte é tirar o gerenciamento da Internet, aplicar o hotfix do ramo suportado e só então contar com assinatura, nas condições em que ela de fato inspeciona esse tráfego. Organizações federais dos Estados Unidos tinham prazo de 29 de outubro de 2026 no catálogo da CISA para as duas falhas de PHP, com triagem forense exigida.
Referências
- Aviso da Palo Alto Networks para CVE-2026-109618
- Unit 42 sobre CVE-2026-109618 e CVE-2026-109619
- Restrição do acesso de gerenciamento
- Boas práticas: encaminhar o tráfego de gerenciamento
- Boas práticas: certificado do tráfego de gerenciamento
- Boas práticas: descriptografia do tráfego de gerenciamento
- Calculadora CVSS 4.0 do vetor com gestão na Internet
- The Hacker News: exploração em interfaces de gerenciamento
- The Hacker News: relato dos 25 servidores
- Relatório da Dream
- The Hacker News: caso europeu e retratação
- Alerta da CISA sobre PHP
- CISA: inclusão no KEV em 26 de outubro
- CISA: inclusão no KEV em 28 de outubro
- Catálogo KEV
- Aviso da Cisco sobre PHP
- Aviso da Fortinet sobre PHP
About The Author
