Khai thác lỗ hổng PHP2Shell trên thiết bị Palo Alto Networks
"Palo Alto Networks is addressing actively exploited PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619) in its management interfaces. These vulnerabilities allow unauthenticated remote code execution, and have been linked to attacks potentially originating from a China-nexus threat actor. CISA has added CVE-2026-46300 to its KEV catalog, requiring federal agencies to patch by October 31, 2026."
Các lỗ hổng thực thi mã từ xa cho phép kẻ tấn công chiếm quyền kiểm soát hệ thống. Việc khai thác đang diễn ra trên các thiết bị bị lộ ra Internet. PAN-OS là mục tiêu.
Các doanh nghiệp sử dụng thiết bị Palo Alto Networks có thể bị mất dữ liệu hoặc gián đoạn dịch vụ. Việc vá lỗi và hạn chế truy cập là cần thiết.
Palo Alto Networks cảnh báo về việc khai thác các lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619) trên các giao diện quản lý bị lộ ra Internet. Các lỗ hổng này cho phép thực thi mã từ xa mà không cần xác thực, và có liên quan đến các cuộc tấn công có thể bắt nguồn từ một nhóm đe dọa liên kết với Trung Quốc.
CISA đã thêm CVE-2026-46300 vào danh mục KEV, yêu cầu các cơ quan liên bang của Hoa Kỳ vá lỗi trước ngày 31 tháng 10 năm 2026. Dream, một công ty an ninh mạng của Israel, cho biết họ đã quan sát thấy một nhóm đe dọa nghi ngờ liên quan đến Trung Quốc sử dụng các lỗ hổng này kết hợp với một lỗi leo thang đặc quyền cục bộ trong kernel Linux (CVE-2026-46300) để chiếm quyền kiểm soát 25 máy chủ ở Hoa Kỳ, Nhật Bản, Đài Loan và Hàn Quốc. Ba trong số đó thuộc về một môi trường liên kết với chính phủ Hoa Kỳ.
Palo Alto Networks lưu ý rằng không cần cấu hình đặc biệt để bị ảnh hưởng bởi vấn đề này, và rủi ro cao nhất xảy ra khi truy cập vào giao diện quản lý từ các địa chỉ IP bên ngoài Internet. Các phiên bản PAN-OS bị ảnh hưởng bao gồm 10.2, 11.1, 11.2 và 12.1/12.2. Palo Alto Networks khuyến nghị các biện pháp giảm thiểu như định tuyến lưu lượng truy cập đến cổng MGT thông qua cổng DP, thay đổi chứng chỉ cho lưu lượng truy cập đến, mã hóa lưu lượng truy cập đến giao diện quản lý và bật ngăn chặn mối đe dọa trên lưu lượng truy cập đến các dịch vụ quản lý. Các khách hàng sử dụng Frontier Virtual Patching (ATP Plus) trên PAN-OS 12.2.4 trở lên đã nhận được bảo vệ nâng cao thông qua Threat ID 543004.
Câu hỏi thường gặp
CVE-2026-109618 và CVE-2026-109619 là gì?
Đây là hai lỗ hổng PHP2Shell cho phép kẻ tấn công thực thi mã từ xa trên các thiết bị Palo Alto Networks mà không cần xác thực. Chúng đã được vá trong các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35.
CVE-2026-46300 có liên quan như thế nào?
CVE-2026-46300 là một lỗi leo thang đặc quyền cục bộ trong kernel Linux. Nó có thể được kết hợp với các lỗ hổng PHP2Shell để leo thang quyền truy cập và kiểm soát hệ thống.
CISA yêu cầu gì liên quan đến CVE-2026-46300?
CISA yêu cầu các cơ quan liên bang của Hoa Kỳ vá lỗi CVE-2026-46300 trước ngày 31 tháng 10 năm 2026. Lỗ hổng này có thể được khai thác cùng với các lỗ hổng PHP2Shell để cài đặt web shell PHP và chạy lệnh với quyền root.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng thiết bị Palo Alto Networks cần kiểm tra phiên bản PAN-OS đang chạy và áp dụng các bản vá bảo mật mới nhất. Điều đáng chú ý là việc hạn chế truy cập vào giao diện quản lý từ bên ngoài mạng là một biện pháp phòng ngừa quan trọng, ngay cả khi chưa thể vá lỗi ngay lập tức.