В среду компания Palo Alto Networks предупредила, что злоумышленники используют недавно исправленные уязвимости PHP2Shell против общедоступных интерфейсов управления. «Наблюдается активная эксплуатация уязвимостей, нацеленная на сетевой интерфейс управления Palo Alto Networks, доступный из Интернета», — говорится в обновленном уведомлении компании, занимающейся сетевой безопасностью. Уязвимости, отслеживаемые как CVE-2026-109618 и CVE-2026-109619 (оценки CVSS: 9,2), позволяют злоумышленникам выполнять удаленное выполнение кода без аутентификации в системах, использующих уязвимые версии PHP. Проблемы были исправлены разработчиками PHP Foundation 21 октября 2026 года в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Это произошло через несколько дней после того, как израильская компания по кибербезопасности Dream сообщила, что она обнаружила предполагаемого злоумышленника, связанного с Китаем, который использовал эти уязвимости в сочетании с ошибкой повышения локальных привилегий в ядре Linux, отслеживаемой как Fragnesia (CVE-2026-46300, оценка CVSS: 7,8), для получения полного контроля над 25 серверами в США, Японии, Тайване и Южной Корее. Среди них были три системы, принадлежащие организации, связанной с правительством США. «Затронутые устройства используют определенные версии программного обеспечения межсетевого экрана крупного поставщика», — отметила Dream. «Затем злоумышленник начал атаки на Active Directory. Извлеченные артефакты подтверждают кражу учетных данных и перечисление каталогов». Хотя Dream не раскрыла название затронутого поставщика межсетевых экранов, время выхода уведомления в сочетании с тем фактом, что другие компании, занимающиеся сетевой безопасностью, не сообщали о вредоносной эксплуатации против своих продуктов, предполагает, что эти события могут быть связаны. Издание The Hacker News связалось с Dream и Palo Alto Networks для получения комментариев, и мы обновим статью, если получим ответ. В связи с этим Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило CVE-2026-46300 в свой каталог известных уязвимостей, подвергшихся эксплуатации (KEV), обязав федеральные агентства применить исправления к 31 октября 2026 года. «Эта уязвимость может быть объединена с CVE-2026-109618 и CVE-2026-109619 для внедрения веб-оболочек PHP и выполнения команд от имени root», — заявила CISA. Palo Alto Networks также отметила, что для подверженности этой проблеме не требуется специальной конфигурации, добавив, что риск для PAN-OS наиболее высок, когда доступ к интерфейсу управления разрешен с внешних IP-адресов из Интернета. «Эта проблема строго затрагивает веб-интерфейс управления, который включает HTTPS веб-интерфейс и службу XML API», — говорится в сообщении. «Она затрагивает интерфейс плоскости данных только в том случае, если к нему прикреплен профиль управления». Следующие версии PAN-OS затронуты PHP2Shell: Для версий PAN-OS, для которых исправления еще не доступны, Palo Alto Networks рекомендовала следующие меры по смягчению последствий: «Клиенты с Frontier Virtual Patching (ATP Plus) на PAN-OS 10.2.4 и более поздних версиях получили предварительное покрытие через Threat ID 543004, выпущенный в 22:21 по тихоокеанскому времени 20 октября». «Риск безопасности, связанный с этой проблемой в PAN-OS и Panorama, минимизируется путем ограничения доступа к интерфейсу управления только доверенными внутренними IP-адресами в соответствии с нашими рекомендуемыми передовыми рекомендациями по развертыванию».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
