Palo Alto Networks melaporkan bahwa penyerang sudah mengeksploitasi celah PHP2Shell pada antarmuka manajemen firewall PAN-OS yang terbuka ke internet. Celah yang dimaksud adalah CVE-2026-109618 dan CVE-2026-109619, keduanya berskor CVSS 9,2 dan memungkinkan eksekusi kode jarak jauh tanpa login pada versi PHP yang terdampak. The Hacker News melaporkan hal ini pada 29 Oktober 2026.
Perangkat dan versi yang terdampak
Menurut rangkuman Help Net Security, cabang PAN-OS 10.2, 11.1, 11.2, 12.1, dan 12.2 ikut terdampak, begitu pula Panorama. Titik masuknya adalah antarmuka web manajemen, termasuk XML API. GlobalProtect dan Captive Portal tidak terpengaruh. Proyek PHP sudah merilis perbaikan hulu pada 21 Oktober di versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. PHP 8.1 dan yang lebih lama tidak lagi menerima pembaruan keamanan.
Palo Alto sudah menyediakan beberapa build perbaikan, antara lain 10.2.18-h13, 11.1.16-h4, dan 11.2.10-h16. Banyak build lain masih menunggu jadwal rilis, dengan perkiraan 29 atau 30 Oktober untuk sebagian di antaranya. Administrator perlu memeriksa daftar lengkap build di advisori resmi Palo Alto karena nomor perbaikan berbeda untuk tiap cabang.
Perusahaan keamanan Dream sebelumnya mengamati dugaan pelaku asal China menggabungkan PHP2Shell dengan celah kernel Linux Fragnesia untuk menguasai 25 server di Amerika Serikat, Jepang, Taiwan, dan Korea Selatan. Kami sudah membahas temuan itu di artikel tentang rantai PHP2Shell dan Fragnesia. Dream tidak menyebut merek firewall yang dibobol. Fragnesia sendiri (CVE-2026-46300, CVSS 7,8) kini masuk katalog KEV milik CISA dengan tenggat perbaikan lembaga federal AS pada 31 Oktober.
Langkah yang perlu diambil
Prioritas pertama adalah memastikan antarmuka manajemen tidak bisa diakses dari internet. Batasi aksesnya ke alamat IP internal yang dipercaya. Pasang build PAN-OS yang sudah tersedia untuk cabang Anda, dan pantau advisori untuk build yang belum rilis.
Untuk perangkat yang belum bisa ditambal, Palo Alto menyarankan beberapa langkah: mengarahkan lalu lintas manajemen lewat port data plane dengan management profile, mengganti sertifikat untuk lalu lintas manajemen masuk, mendekripsi lalu lintas masuk ke antarmuka manajemen agar bisa diperiksa, dan mengaktifkan Threat Prevention. Pelanggan Threat Prevention bisa mengaktifkan Threat ID 543004 dan beberapa ID lain dari content version 9162 atau lebih baru, dengan syarat konfigurasi tertentu. Bila perangkat pernah terpapar, periksa log akses manajemen dan akun administrator yang tidak dikenal.
Bagi tim di Indonesia yang mengelola firewall Palo Alto, risikonya paling besar pada perangkat yang antarmuka manajemennya masih terbuka dari luar jaringan kantor. Pemeriksaan itu bisa selesai dalam beberapa menit dan menutup jalur serangan yang sedang dipakai.
Sumber: The Hacker News dan Help Net Security. Gambar: The Hacker News.