PHP2Shell u praksi: kroz Palo Alto firewall do mreže povezane sa američkom vladom
Najozbiljnije do sada opisane provale kroz PHP2Shell, propust u PHP-u o kome smo pisali prošle nedelje, nisu pogodile sajtove, nego firewall uređaje, one koji bi trebalo da čuvaju ulaz u mrežu. Izraelska firma Dream opisala je kampanju u kojoj su napadači preko kineskog pretraživača FOFA pronašli oko 19.000 Palo Alto firewall uređaja vidljivih sa interneta. Spisak su suzili na SAD, Japan, Tajvan i Južnu Koreju i na verzije sistema sa PHP-om 8.0.30, kome je zvanična podrška istekla krajem 2023, i ostalo je 240 meta. U automatizovanom naletu 23. i 24. oktobra preuzeli su potpunu kontrolu nad 24 uređaja, a na 22 od njih samo ostavili skriveni prolaz za kasnije. Dva su pripadala organizaciji povezanoj sa američkom vladom: prvi se srušio, a kroz drugi su napadači za sat i po stigli do servera koji upravlja svim firewall uređajima te organizacije, i odatle do imenika njenih naloga i lozinki. Dream procenjuje da neovlašćeni pristup verovatno još traje. Palo Alto Networks potvrđuje napade na upravljačke panele izložene ka internetu i izdao je zakrpe za sve podržane verzije. Dream i Unit 42, istraživački tim Palo Alto Networksa, po alatima, kineskim AI modelima DeepSeek i Kimi i vremenskoj zoni trag vode ka napadaču sa kineskog govornog područja, ali grupu ne imenuju. Kina se o nalazima za sada nije oglasila. Dream navodi da je u infrastrukturi napadača bio instaliran i Claude Code, ali da nema dokaza da je AI pisao exploit. CISA je oba PHP propusta, kao i propust u Linux jezgru kojim su napadači dobijali puna ovlašćenja, stavila na spisak aktivno zloupotrebljavanih.
Firewall predstavlja ulazna vrata u mrežu, a u ovom slučaju su napadači ušli kroz propust u bravi koji je objavljen prošle nedelje. PHP u ovim uređajima administrator ne instalira i ne ažurira. Dolazi ugrađen, kao deo sistema, i krpi se tek kad proizvođač izda novu verziju. Palo Alto je taj deo posla uradio brzo i javno, sarađujući sa istraživačima koji su napad otkrili. Ali obrazac ostaje: uređaji za zaštitu u sebi nose delove stare i po nekoliko godina, a njihovim upravljačkim panelima se i dalje pristupa sa interneta. I ovo nije prvi put. U novembru 2024. napadači su kroz izložene panele takođe preuzimali Palo Alto uređaje. Pre nedelju dana, u savetima uz vest o PHP2Shellu, naveli smo da prikazivanje verzije PHP-a napadaču olakšava izbor mete. Ovde se vidi kako taj izbor izgleda u praksi: od 19.000 do 240, po državi i po verziji. Exploit je bio ozbiljan rad, napravljen posebno za ovu platformu, ali izbor meta bio je obična administracija, spisak pa filter. Najbolju zaštitu ovde nije nudila zakrpa, nego panel koji se ne vidi sa interneta.
- Ako imaš Palo Alto firewall ili Panoramu, ažuriraj PAN-OS na hotfix za svoju granu iz Palo Alto upozorenja za CVE-2026-109618 (na primer 12.2.4-h1, 12.1.10-h3, 11.2.16-h1, 11.1.16-h4, 10.2.18-h13)
- Skloni upravljački panel firewall uređaja sa interneta: pristup samo sa unutrašnjih adresa ili sa jednog posredničkog računara (jump host)
- Ako je panel bio izložen, potraži /unauth/php/change_password.php, direktorijum /usr/local/lib/.panops/ i obrnute SSH tunele ka spolja, pa promeni lozinku LDAP servisnog naloga, SAML ključeve i sertifikate uređaja
- Za ostale uređaje sa veb panelom — rutere, mrežne diskove, VPN — pitaj proizvođača koju verziju PHP-a nose i da li ih PHP2Shell pogađa
- Na sopstvenim Linux serverima ažuriraj jezgro zbog Fragnesije (CVE-2026-46300), a ako aplikacija u radu menja session.serialize_handler, isključi session.upload_progress dok ne stigne ispravka za treći PHP propust, CVE-2026-115560