Palo Alto Networks bestätigt aktive Ausnutzung von PHP2Shell-Schwachstellen in exponierten Verwaltungsschnittstellen

Palo Alto Networks hat bestätigt, dass Angreifer kritische PHP-Schwachstellen in seinen Firewall-Verwaltungsschnittstellen aktiv ausnutzen, die dem öffentlichen Internet ausgesetzt sind. Die am Mittwoch veröffentlichte Warnung folgt auf Berichte des Cybersicherheitsunternehmens Dream über eine mutmaßlich aus China stammende Gruppe, die Server in mehreren Ländern kompromittiert hat. Diese Entwicklung markiert eine erhebliche Eskalation bei der Ausnutzung der kürzlich gepatchten PHP2Shell-Schwachstellen.

Was passiert ist

Die als CVE-2026-109618 und CVE-2026-109619 identifizierten Schwachstellen haben einen CVSS-Wert von 9,2 und ermöglichen nicht authentifizierte Remote-Code-Ausführung auf Systemen mit betroffenen PHP-Versionen. Diese Probleme wurden von der PHP Foundation am 21. Oktober 2026 in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Allerdings zielen Angreifer nun auf Geräte ab, die noch nicht aktualisiert wurden oder weiterhin externem Traffic ausgesetzt sind.

Das Cybersicherheitsunternehmen Dream berichtete, dass es beobachtet habe, wie ein Angreifer diese PHP-Schwachstellen mit einer Linux-Kernel-Privilegienausweitung kombiniert, die unter dem Namen Fragnesia (CVE-2026-46300) verfolgt wird. Diese Kombination ermöglichte es den Angreifern, Root-Zugriff auf 25 Server in den USA, Japan, Taiwan und Südkorea zu erlangen, darunter drei Systeme, die mit einer Umgebung im Umfeld der US-Regierung verbunden waren. Anschließend griffen die Angreifer Active Directory an, extrahierten Anmeldedaten und enumerierten Verzeichnisstrukturen.

Als Reaktion darauf fügte die U.S. Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-46300 ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu und verpflichtete Bundesbehörden, Fixes bis zum 31. Oktober 2026 einzuspielen. Die CISA wies darauf hin, dass diese Schwachstelle mit den PHP-Schwachstellen verkettet werden kann, um Web-Shells zu installieren und Befehle mit Root-Rechten auszuführen. Palo Alto Networks erklärte, dass nur ein kleiner Teil seiner global installierten Basis internetseitige Verwaltungsschnittstellen besitzt; diese Kunden wurden jedoch individuell kontaktiert.

Wichtige Details

• Schwachstellen: CVE-2026-109618 und CVE-2026-109619 (CVSS 9,2) ermöglichen nicht authentifizierte Remote-Code-Ausführung über PHP2Shell-Schwachstellen.
• Ausnutzungskette: Angreifer kombinieren PHP-Schwachstellen mit CVE-2026-46300 (Fragnesia, CVSS 7,8), um Root-Zugriff auf Linux-basierte Firewall-Systeme zu erlangen.
• Auswirkungsbereich: Dream beobachtete Kompromittierungen auf 25 Servern in den USA, Japan, Taiwan und Südkorea, einschließlich Systemen im Umfeld der US-Regierung.
• Betroffene Schnittstelle: Das Problem betrifft streng genommen nur die webbasierte Verwaltungsschnittstelle (HTTPS UI und XML API), insbesondere wenn sie externen IP-Adressen ausgesetzt ist.
• Patch-Status: Fixes sind für die meisten PAN-OS-Versionen verfügbar, wobei einige Releases bis zum 30. Oktober 2026 erwartet werden.
• Reaktion des Herstellers: Palo Alto Networks bestätigte die Ausnutzung und forderte zur sofortigen Entfernung des öffentlichen Internetzugriffs auf Verwaltungsschnittstellen auf.

Hintergrund

PHP2Shell bezeichnet eine Klasse von Schwachstellen in PHP, die es Angreifern ermöglichen, beliebige Systembefehle über Webanwendungen auszuführen. Wenn solche Fehler in Netzwerkgeräte-Verwaltungsschnittstellen vorhanden sind, bieten sie Angreifern einen direkten Weg zur Übernahme des zugrunde liegenden Betriebssystems. In diesem Fall führt die Firewall ein Linux-basiertes Betriebssystem, was sie anfällig für lokale Privilegienausweitungsfehler wie Fragnesia macht, sobald initialer Zugriff erlangt wurde.

Verwaltungsschnittstellen auf Firewalls sind für administrative Aufgaben konzipiert und sollten idealerweise nur aus vertrauenswürdigen internen Netzwerken erreichbar sein. Die Exposition dieser Schnittstellen gegenüber dem öffentlichen Internet erhöht die Angriffsfläche erheblich, da jeder versuchen kann, Authentifizierungsbrute-Force-Angriffe durchzuführen oder ungepatchte Schwachstellen auszunutzen. Best Practices schreiben vor, den Zugriff auf bestimmte interne IP-Bereiche zu beschränken und virtuelle private Netzwerke (VPNs) für die Fernverwaltung zu verwenden.

Warum das wichtig ist

Für Teams, die ihre eigene Infrastruktur verwalten, unterstreicht dieser Vorfall die entscheidende Bedeutung von Netzwerksegmentierung und strengen Zugriffssteuerungen. Selbst wenn Sie Ihre Systeme zeitnah patchen, bleibt die Exposition von Verwaltungsports gegenüber dem Internet ein Risiko für Zero-Day-Exploits oder die schnelle Ausnutzung neu offengelegter Schwachstellen. Die Geschwindigkeit, mit der Angreifer diese Schwachstellen verkettet haben, zeigt, dass Defense-in-Depth-Strategien unerlässlich und nicht optional sind.

Self-Hosting-Umgebungen verlassen sich oft auf Perimetersicherheitsgeräte wie Firewalls, um interne Dienste zu schützen. Wenn die Firewall selbst kompromittiert wird, wird das gesamte interne Netzwerk verwundbar. Die im Bericht erwähnte Extraktion von Active-Directory-Anmeldedaten deutet darauf hin, dass Angreifer diese Fußfassen nutzen, um lateral zu bewegen und potenziell E-Mail-Server, Datenbanken und andere kritische Geschäftsanwendungen zu gefährden. Die Sicherstellung, dass Verwaltungsschnittstellen niemals öffentlich zugänglich sind, ist ein grundlegender Schritt zum Schutz Ihres Self-Hosting-Stacks.

Was Sie tun können

• Zugriff sofort einschränken: Stellen Sie sicher, dass Firewall-Verwaltungsschnittstellen nicht vom öffentlichen Internet aus erreichbar sind. Erlauben Sie Verbindungen nur von vertrauenswürdigen internen IP-Adressen.
• Patches anwenden: Aktualisieren Sie PAN-OS auf die in der Sicherheitswarnung aufgelisteten fixierten Versionen. Prüfen Sie täglich auf Updates, bis alle relevanten Versionen gepatcht sind.
• Threat Prevention aktivieren: Wenn Sie nicht sofort patchen können, aktivieren Sie Threat-Prevention-Profile für eingehenden Traffic zu Verwaltungsdiensten und entschlüsseln Sie eingehenden Traffic zur Inspektion.
• Exposition prüfen: Nutzen Sie Tools zum Management der Angriffsfläche, um zu überprüfen, ob keine Verwaltungsports versehentlich dem Internet ausgesetzt sind.
• Logs überwachen: Überprüfen Sie Firewall-Logs auf ungewöhnliche Zugriffsmuster oder fehlgeschlagene Authentifizierungsversuche an der Verwaltungsschnittstelle.
• Zertifikate ersetzen: Als Gegenmaßnahme sollten Sie das Zertifikat ersetzen, das für das Management des eingehenden Traffics verwendet wird, um potenzielle Man-in-the-Middle-Angriffe zu stören.