PHP2Shell 漏洞遭實際利用，Palo Alto Networks 示警 PAN-OS 管理介面暴露風險

2026 / 10 / 29

編輯部

PHP2Shell 漏洞遭實際利用，Palo Alto Networks 示警 PAN-OS 管理介面暴露風險

網路資安廠商 Palo Alto Networks 於 10月28日更新資安公告，指出已觀察到駭客針對暴露於網際網路的 PAN-OS（Palo Alto 防火牆作業系統）管理介面，實際利用 PHP2Shell 漏洞發動攻擊。這組漏洞編號為 CVE-2026-109618 與 CVE-2026-109619，CVSS 分數皆為 9.2，可讓攻擊者在未經驗證下，於執行受影響 PHP 版本的系統上遠端執行程式碼（remote code execution，RCE）。PHP 語言維護組織 PHP Foundation 已於10月21日釋出修補版本，但 PAN-OS 部分版本的修補程式仍在陸續推出。

管理介面暴露在外是主要風險

Palo Alto Networks 表示，已觀察到針對暴露於網際網路的 Palo Alto Networks 管理介面的實際攻擊。該公司說明，此問題僅影響管理網頁介面，包括 HTTPS 網頁使用者介面與 XML API 服務；資料平面（dataplane）介面則是在掛載管理設定檔時才會受影響。受影響系統無須特殊設定，當管理介面允許來自外部 IP 的連線時，風險最高。

受影響版本涵蓋 PAN-OS 12.2、12.1、11.2、11.1 與 10.2 等版本。公告所列的修補版本中，部分預計於10月29日至30日陸續提供。此外，啟用 Frontier Virtual Patching（ATP Plus）且使用 PAN-OS 12.2.4 以上版本的客戶，已於10月20日晚間（太平洋時間）收到編號 543004 的威脅防護事前涵蓋。

疑似相關的攻擊調查

在這項警告前，以色列資安公司 Dream 才公布一起攻擊調查：攻擊者將 PHP2Shell 與 Linux 核心本機權限提升（local privilege escalation，LPE）漏洞「Fragnesia」（CVE-2026-46300，CVSS 7.8）串接，取得位於美國、日本、台灣與南韓共25台伺服器的 root 權限，其中3台屬於美國政府關聯環境。Dream 指出，受影響設備執行的是「大型廠商」的特定版本防火牆軟體，並表示攻擊者隨後對 Active Directory 發動攻擊，回收的跡證證實有憑證擷取與目錄列舉行為。

Dream 未公開廠商名稱，僅表示已通知該業者。外媒根據公告時間點，以及其他網路安全廠商未通報遭惡意利用，推測兩起事件可能相關，但截至報導時尚未取得 Dream 與 Palo Alto Networks 的回應。

相關文章：PHP2Shell 遭實際利用！Brotli 弱點 HTTP2Shell 同步延燒，PHP、.NET 緊急更新

客製化利用與舊版 PHP 是關鍵

依 Dream 分析，攻擊者使用的是客製化、非公開的版本，並非已知公開利用程式的複製品，概念相同，但似乎針對該防火牆平台獨立開發。攻擊標的是該防火牆 appweb 管理伺服器上 PHP 的 session.upload_progress 機制；韌體使用 PHP 8.0.30，且記憶體上限設定較高，使攻擊中的記憶體損毀（memory corruption）階段得以成立。

美國網路安全暨基礎設施安全局（CISA）指出，Fragnesia 可與上述兩個 PHP 漏洞串接，用於植入 PHP 網頁後門（web shell）並以 root 身分執行指令。CISA 已將 CVE-2026-46300 列入已知遭利用漏洞（KEV）目錄，要求聯邦機關於10月31日前完成修補。

不過，PHP2Shell 的整體實際利用目前仍然有限。威脅情報業者 Flare 引述 XSS 地下論壇一名使用 c0d3x 代號的成員說法，指出要攻擊真實目標，必須取得 libphp.so 中的偏移位置（offset），而這些位置因每個建置版本而異，無法暴力破解，只有在自己的測試環境重現，或已取得目標檔案系統存取權時才可行。