Palo Alto: Všechny verze PAN-OS jsou zranitelné vůči PHP2Shell

Vlády v Evropě a Japonsku ve středu 21. října odstavily své webové stránky poté, co se na veřejnost dostaly dvě kritické chyby v PHP, souhrnně označované jako PHP2Shell. PHP je serverový jazyk, na kterém běží zhruba 70 % webů, u nichž lze identifikovat backend. Americké úřady vyzvaly organizace, aby chyby okamžitě opravily nebo odpojily systémy, které nelze zabezpečit. Společnost Palo Alto Networks mezitím potvrdila, že jsou zasaženy všechny verze PAN-OS a Panorama a že opravy zatím nejsou k dispozici.helpnetsecurity.com+1

Chyby CVE-2026-109618 a CVE-2026-109619 získaly skóre 9,2. Umožňují útočníkovi spustit kód na serveru bez přihlášení. Zveřejnění bylo plánováno na 22. října, ale podrobnosti unikly online již 20. října, takže projekt PHP vydal opravy o den dříve ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35.kyoceradocumentsolutions.com

Odstávky a oficiální varování

Vládní webové stránky v Německu, Francii, Belgii, Nizozemsku, Finsku a České republice byly dočasně vyřazeny z provozu. Japonsko pozastavilo některé webové služby svých ministerstev financí a zdravotnictví a skupina Mitsubishi UFJ Financial Group preventivně pozastavila některé online služby. NSA, FBI a CISA uvedly, že systémy by měly být odpojeny, pokud je nelze rychle zabezpečit. V době vydání zprávy CISA uvedla, že "nezaznamenala žádné zneužití". FBI vyzvala organizace, aby provedly inventuru využití PHP, počínaje systémy vystavenými do internetu a produkty, které PHP obsahují.newsweek.com+2

Cloudflare uvedl, že zákazníci využívající jeho bezplatné i placené plány webových aplikačních firewallů jsou chráněni od 21. října od 3:02 UTC, tedy asi devět hodin před veřejným oznámením. Technický ředitel Dane Knecht označil pravidla za dočasná a vyzval správce k instalaci aktualizací PHP.blog.cloudflare.com+1

Dodavatelé sítí situaci stále vyhodnocují

Palo Alto hodnotí riziko pro PAN-OS jako vysoké a uvádí, že je nejvyšší v případě, kdy správní rozhraní přijímá připojení z internetu. Do vydání oprav doporučuje omezit přístup na důvěryhodné interní IP adresy a používat jejich signatury pro prevenci hrozeb. Fortinet stále vyšetřuje 12 produktů a 12 dalších, včetně FortiOS, již prověřil. Cisco prověřuje 31 produktů a cloudových služeb, zatím žádný nepotvrdilo jako zranitelný a uvádí, že neexistují žádná náhradní řešení.helpnetsecurity.com

Obraz zneužití není jasný

Výzkumníci ze společností Calif a Wiz objevili chyby s pomocí modelů umělé inteligence. Unit 42 společnosti Palo Alto napočítala více než 22,6 milionu instancí vystavených internetu, které mohou být zranitelné. Bezpečnostní prodejci, včetně Hadrian a Patchstack, nyní hlásí zneužití i mimo návnadové systémy, ačkoliv oficiální úřady to nepotvrdily. VulnCheck uvádí, že pouze hrstka veřejných proof-of-concept exploitů používá správný mechanismus. Výkonná ředitelka PHP Foundation Elizabeth Barron pro CNBC uvedla, že neexistují "žádné důkazy o funkčních exploitech". Výzkumník Matt Suiche ze společnosti Tolmo nesouhlasil a uvedl, že jeho tým vytvořil funkční exploit za méně než den.cnbc.com+3