Dampak celah PHP2Shell ternyata tidak berhenti di server web. Palo Alto Networks mengonfirmasi bahwa CVE-2026-109618 dan CVE-2026-109619 juga mengenai PAN-OS, sistem operasi firewall PA-Series dan VM-Series, serta Panorama, konsol manajemen terpusatnya. Palo Alto memperbarui advisory-nya pada 24 dan 25 Oktober 2026.
Semua cabang PAN-OS yang masih didukung terdampak, yaitu 10.2, 11.1, 11.2, 12.1, dan 12.2. Menurut Cyber Security News, perangkat tidak perlu konfigurasi khusus untuk menjadi rentan.
Bagian yang terkena: antarmuka manajemen
Celah ini ada di antarmuka manajemen web PAN-OS, termasuk konsol admin HTTPS dan XML API. Interface dataplane hanya terdampak kalau diberi management profile. GlobalProtect portal dan gateway, Clientless VPN, serta Captive Portal tidak terdampak, jadi layanan VPN yang menghadap internet tidak ikut menjadi pintu masuk.
Celah PHP aslinya punya skor CVSS 9,2. Palo Alto menilai dampaknya di produknya sendiri sebesar 8,7. Perusahaan menyatakan belum mengetahui adanya eksploitasi berbahaya terhadap produknya, tetapi tim Unit 42 sudah melihat proof-of-concept untuk celah PHP2Shell secara umum. Cortex XCORE dan WildFire Cloud sempat terdampak dan sudah ditambal Palo Alto pada 21 dan 22 Oktober. Prisma Access dan Cloud NGFW tidak terdampak.
Jadwal hotfix dan langkah sementara
Per 25 Oktober, tiga hotfix sudah tersedia: 10.2.18-h13, 11.1.16-h4, dan 11.2.10-h16. Hotfix untuk versi lain keluar bertahap antara 27 dan 30 Oktober, misalnya 12.2.4-h1 dijadwalkan 28 Oktober. Jadwal ini masih perkiraan Palo Alto, jadi admin perlu mengecek tabel versi di advisory resmi untuk cabang yang dipakai.
Sambil menunggu hotfix, Palo Alto menyarankan beberapa langkah:
- Batasi akses antarmuka manajemen hanya dari IP internal tepercaya atau jump box.
- Aktifkan Threat Prevention dengan Threat ID 543004 dan signature tambahan di content version 9162, 9163, 9164, atau yang lebih baru.
- Agar signature bisa memeriksa lalu lintas manajemen, arahkan trafik manajemen lewat port dataplane, ganti sertifikat manajemen inbound, lalu aktifkan dekripsi dan inspeksi.
Antarmuka manajemen firewall seharusnya memang tidak pernah terbuka ke internet. Kalau di jaringan kamu masih bisa diakses dari luar, kasus ini jadi alasan untuk menutupnya sekarang, sebelum hotfix untuk versimu keluar.
Sumber: Palo Alto Networks Security Advisory, Cyber Security News. Gambar: Cyber Security News
Tinggalkan Balasan