Kaj se je zgodilo
Palo Alto Networks je v posodobitvi svojega varnostnega obvestila potrdil, da napadalci aktivno izkoriščajo ranljivosti PHP2Shell proti upravljavskim vmesnikom PAN-OS, ki so izpostavljeni internetu. Po poročanju The Hacker News je podjetje zapisalo, da je bilo »aktivno izkoriščanje opaženo pri ciljanju upravljavskega vmesnika Palo Alto Networks, izpostavljenega internetu«.
Po navedbah Cyber Security News je Unit 42, raziskovalna enota Palo Alto Networks, v posodobitvi z dne 29. oktobra 2026 sporočila, da je neodvisno preverila orodja napadalcev, ki kombinirajo napaki v PHP z ranljivostjo v jedru Linux, da bi pridobili root dostop. Gre za ranljivost CVE-2026-46300, ki prizadene jedro Linux.
Ranljivosti, sledene kot CVE-2026-109618 in CVE-2026-109619, obe nosita kritično oceno CVSS 4.0 9.2. Po opisu iz NVD omogočata oddaljeno izvajanje kode brez prijave. CVE-2026-109618 je posledica nepravilnega ravnanja s pomnilnikom pri funkciji longjmp(), ki jo PHP uporablja za izhod iz konteksta ob napakah pomanjkanja pomnilnika (OOM). CVE-2026-109619 pa izhaja iz globalnega stanja PHP, ki lahko po napačnem ponastavljanju ali ponovnem polnjenju še vedno kaže na že sproščen pomnilnik zahteve, kar omogoča branje ali razvejanje na zastarelem stanju pred popolno inicializacijo.
Po navedbah Cyber Security News je bilo javno dostopnih upravljavskih vmesnikov prizadetih približno 0,02 % globalne nameščene baze Palo Alto Networks, ekipe podjetja pa so te stranke kontaktirale posamično, kar navaja grožnjin pregled Unit 42.
Vse tri ranljivosti so uvrščene v katalog CISA KEV, kar pomeni potrjeno aktivno izkoriščanje v naravi. CVE-2026-109618 in CVE-2026-109619 sta bili v katalog dodani 26. oktobra 2026, CVE-2026-46300 pa 28. oktobra 2026.
Tehnične podrobnosti ranljivosti
CVE-2026-109618 ima po NVD tudi oceno CVSS 3.1 9.8 (kritična), medtem ko dobavitelj PHP navaja CVSS 4.0 9.2. EPSS vrednost za to ranljivost je na dan 29. oktobra 2026 znašala 100,0 %, kar kaže na zelo visoko verjetnost izkoriščanja. Ranljivost prizadene PHP različice od 7.3.0 do pred 8.2.35, od 8.3.0 do pred 8.3.36, od 8.4.0 do pred 8.4.27 ter od 8.5.0 do pred 8.5.12, poleg tega pa tudi PAN-OS v različnih razponih različic in Panorama Virtual Appliance.
CVE-2026-109619 ima po NVD oceno CVSS 3.1 8.1 (visoka), dobavitelj PHP pa navaja CVSS 4.0 9.2 (kritična). Opozoriti velja, da gre za dve ločeni oceni iz različnih virov in različic standarda CVSS, ki ju ne gre enačiti. EPSS vrednost za to ranljivost je prav tako znašala 100,0 % na dan 29. oktobra 2026. Prizadete so iste različice PHP kot pri CVE-2026-109618, le da se razpon začne pri PHP 5.4.0.
CVE-2026-46300 je ranljivost v jedru Linux, povezana z napačnim ravnanjem z deljenimi fragmenti paketov pri funkciji skb_try_coalesce(). Po NVD nosi oceno CVSS 3.1 7.8 (visoka), EPSS vrednost pa je na dan 29. oktobra 2026 znašala 15,7 %, kar je bistveno nižje od preostalih dveh ranljivosti. V NVD je na voljo referenca z oznako »Patch«, ki vodi do popravkov v stabilnem jedru Linux. Ranljivost prizadene več razponov različic jedra Linux, med drugim od 5.11 do pred 5.15.208 in od 6.19 do pred 7.0.10.
Kaj to pomeni za slovenska in evropska podjetja
Vsa tri podjetja, ki uporabljajo PAN-OS ali Panorama Virtual Appliance in imajo upravljavski vmesnik izpostavljen internetu, so po trenutnih poročilih v neposrednem tveganju. Kombinacija PHP2Shell ranljivosti z napako v jedru Linux napadalcem omogoča pridobitev root dostopa, kar predstavlja popoln prevzem nadzora nad prizadeto napravo. Glede na to, da so vse tri ranljivosti uvrščene v katalog CISA KEV, gre za potrjeno aktivno izkoriščanje, ne zgolj teoretično tveganje.
Slovenska in evropska podjetja, ki uporabljajo požarne zidove in varnostne platforme Palo Alto Networks, naj preverijo, ali je upravljavski vmesnik dostopen iz javnega interneta. Glede na navedbo Palo Alto Networks, da je bilo prizadetih približno 0,02 % globalne nameščene baze, je obseg izpostavljenosti sicer majhen, vendar posledice uspešnega izkoriščanja – oddaljeno izvajanje kode brez prijave in root dostop – ostajajo kritične.
Priporočeni ukrepi
- Preverite, ali je upravljavski vmesnik PAN-OS ali Panorama dostopen iz javnega interneta, in ga, če je mogoče, umaknite iz javne dostopnosti.
- Namestite popravke za PHP v skladu z navodili dobavitelja (GitHub Security Advisories GHSA-6wmf-4rv5-p3rp in GHSA-w8hw-w9fx-j79w).
- Za ranljivost jedra Linux CVE-2026-46300 uporabite popravke, navedene v uradnih referencah s oznako »Patch«.
- Preverite obvestila Palo Alto Networks in Unit 42 glede dodatnih navodil za omilitev tveganja.
- Spremljajte dnevnike upravljavskih vmesnikov za znake nenavadne dejavnosti, zlasti poskuse povezav od zunaj pričakovanih omrežij.
Pogosta vprašanja
Katere ranljivosti so vključene v napad PHP2Shell?
Gre za tri ranljivosti: CVE-2026-109618 in CVE-2026-109619 v PHP, ki omogočata oddaljeno izvajanje kode brez prijave, ter CVE-2026-46300 v jedru Linux, ki napadalcem po poročanju Unit 42 omogoča pridobitev root dostopa v kombinaciji s prvima dvema.
Ali so te ranljivosti dejansko izkoriščane?
Da. Vse tri ranljivosti so uvrščene v katalog CISA KEV kot potrjeno izkoriščane, Palo Alto Networks pa je v svojem obvestilu neposredno potrdil aktivno izkoriščanje proti izpostavljenim upravljavskim vmesnikom.
Koga ranljivosti prizadenejo?
Prizadete so naprave PAN-OS in Panorama Virtual Appliance z upravljavskim vmesnikom, izpostavljenim internetu. Po navedbah Palo Alto Networks je bilo prizadetih približno 0,02 % globalne nameščene baze podjetja.
Kako lahko podjetja zmanjšajo tveganje?
Priporočljivo je preveriti, ali je upravljavski vmesnik dostopen iz javnega interneta, in ga umakniti iz javne dostopnosti, namestiti popravke za PHP in jedro Linux ter spremljati dnevnike za znake nenavadne dejavnosti.
Sorodne objave
- GraphQL-core: ranljivost DoS v validacijskem pravilu OverlappingFieldsCanBeMerged
- Pegasus vohunska programska oprema potrjena na iPhonu rektorja beograjske univerze tik pred volitvami v Srbiji
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej