Palo Alto Networks mengubah sikapnya soal PHP2Shell. Pada pembaruan advisori 28 Oktober 2026, perusahaan itu menyatakan dua celah PHP tersebut sedang dieksploitasi aktif terhadap antarmuka manajemen PAN-OS yang terbuka ke internet. Sebelumnya, Palo Alto menyebut belum mengetahui adanya eksploitasi pada produknya.
Dua celah PHP, satu perangkat firewall
PHP2Shell merujuk pada CVE-2026-109618 dan CVE-2026-109619, dua celah eksekusi kode jarak jauh tanpa login di PHP. Keduanya bernilai CVSS 4.0 sebesar 9,2. Tim PHP merilis perbaikannya pada 21 Oktober 2026 lewat PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Karena banyak perangkat jaringan memakai PHP untuk antarmuka web, dampaknya melebar ke produk vendor lain.
Di PAN-OS, yang terdampak adalah antarmuka web manajemen (HTTPS dan XML API) pada cabang 10.2, 11.1, 11.2, 12.1, dan 12.2, termasuk Panorama. Palo Alto menilai tingkat keparahan di produknya 8,7 (tinggi), di bawah skor 9,2 dari sisi PHP. Lalu lintas yang melewati firewall tidak terpengaruh. Antarmuka dataplane hanya terpapar bila diberi profil manajemen.
Rantai serangan sampai hak root
Perusahaan intelijen ancaman Dream melaporkan kampanye pelaku yang diduga terkait Tiongkok. Pelaku menggabungkan PHP2Shell dengan Fragnesia (CVE-2026-46300), celah eskalasi hak akses di kernel Linux, lalu memperoleh akses root di 25 sistem di Amerika Serikat, Jepang, Taiwan, dan Korea Selatan. Tiga di antaranya berada di lingkungan yang berafiliasi dengan pemerintah AS. Setelah masuk, pelaku menyasar Active Directory dan mengambil kredensial. Menurut The Hacker News, Dream tidak menyebut nama vendor firewall dalam laporannya, sedangkan Unit 42 menyatakan sudah memverifikasi sendiri perkakas dan hasil yang dilaporkan Dream. Fragnesia sendiri sudah kami bahas saat CISA memasukkannya ke daftar KEV.
Palo Alto menyebut sekitar 0,02 persen dari basis pelanggannya punya antarmuka manajemen yang menghadap internet, dan pelanggan itu sudah dihubungi satu per satu. Angka ini klaim vendor. Pelanggan yang sudah menerapkan tambalan, atau tidak membuka antarmuka manajemen ke internet, menurut Palo Alto tidak terdampak.
Yang perlu dilakukan pengelola
Palo Alto meminta pengelola menutup akses internet publik ke antarmuka manajemen, membatasinya ke alamat IP internal tepercaya, dan memasang perbaikan PAN-OS yang tersedia. Cabang 12.2 perlu naik ke 12.2.4-h1 atau lebih baru. Beberapa perbaikan cabang lain dijadwalkan terbit sekitar 29 sampai 30 Oktober, sehingga pengelola perlu mencocokkan versi mereka di advisori resmi. Bagi yang belum bisa menambal, Palo Alto menyarankan mengalihkan lalu lintas port manajemen lewat port dataplane, mengganti sertifikat manajemen masuk, mendekripsi lalu lintas manajemen masuk untuk diperiksa, dan mengaktifkan threat prevention. Pelanggan Advanced Threat Prevention Plus mendapat perlindungan lewat Threat ID 543004.
Pengelola juga perlu memeriksa tanda pembobolan, misalnya koneksi SSH keluar yang tak dikenal dan web shell, lalu mengganti kredensial administrator dan akun layanan LDAP bila ada kecurigaan. Server PHP lain sebaiknya naik ke empat versi yang disebut di atas, dan kernel Linux perlu ditambal terhadap Fragnesia.
Sumber: The Hacker News, Unit 42, Palo Alto Networks, Help Net Security. Gambar: Unit 42, Palo Alto Networks.