Palo Alto Networks Yönetim Arayüzlerindeki PHP2Shell Açıkları İnternet Üzerinden Açığa Çıkarılıyor.

Görsel Kaynağı: The Hacker News

Palo Alto Networks, saldırganların yeni güncellenen PHP2Shell açıklarını halka açık yönetim arayüzlerinde kötüye kullandığını Çarşamba günü uyardı.

“İnternet’e açık Palo Alto Networks yönetim arayüzünü hedefleyen aktif kötüye kullanım gözlemlendi,” ağ güvenlik şirketi, yönergesindeki güncellemede şunları söyledi.

CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen açıklar (CVSS puanları: 9.2), saldırganların etkilenen sürümleri çalıştıran sistemlerde kimlik doğrulamasız uzak kod çalıştırma yetkisi kazanmasına olanak tanıyor. Sorunlar, PHP Vakfı tarafından 21 Ekim 2026’da 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde güncellenmiştir.

Gelişme, İsrail güvenlik şirketi Dream’in, Çin bağlantılı şüpheli bir saldırganın, CVE-2026-46300 (CVSS puanı: 7.8) olarak takip edilen Linux çekirdeğindeki yerel ayrıcalık yükseltme açığını, ABD, Japonya, Tayvan ve Güney Kore‘deki 25 sunucuyu kök (root) erişimine ulaşmak için yerel ayrıcalık yükseltme açısıyla birleştirdiğini gözlemiş olmasıyla, birkaç gün sonrasına denk geliyor.

Bu sunucular arasında bir ABD hükümetine bağlı ortamın üç sistemi de yer alıyordu.

“Etkilenen cihazlar, büyük bir üreticinin güvenlik duvarı yazılımının belirli sürümlerini çalıştırıyor,” Dream belirtti. “Saldırgan ardından Active Directory’ye saldırılar başlattı. Geri alınan kalıntılar kimlik bilgisi çıkarma ve dizin taramasını doğruluyor.”

Dream, etkilenen güvenlik duvarı üreticisinin ismini açıklamazken, yönergenin zamanlaması ile diğer ağ güvenlik şirketlerinin ürünlerinde kötüye kullanım bildirmemesi, bu olayların birbirleriyle ilişkili olabileceğini düşündürüyor.

The Hacker News hem Dream hem de Palo Alto Networks’ten yorum istedi ve geri dönüş alırsak haberi güncelleyeceğiz.

Gelişme, ABD Siber Güvenlik ve Güvenli Altyapı Ajansı (CISA)’nın CVE-2026-46300’ü Bilinen Kötüye Kullanılan Açıklar (KEV) kataloğuna eklemesine yol açtı ve federal ajanslara düzeltmeleri 31 Ekim 2026’ya kadar uygulama zorunluluğu getirdi.

“Bu açıklık, PHP web shell’leri yerleştirmek ve kök (root) olarak komut çalıştırmak için CVE-2026-109618 ve CVE-2026-109619 ile zincirlenebilir,” dedi CISA.

Palo Alto Networks ayrıca, bu sorundan etkilenmek için özel bir yapılandırmanın gerekmediğini belirtti ve riskin PAN-OS’ta yönetim arayüzüne internet üzerindeki harici IP adreslerinden erişime izin verildiğinde en yüksek olduğunu ekledi.

“Bu sorun yalnızca yönetim web arayüzünü etkiler; bu da HTTPS web arayüzünü ve XML API hizmetini kapsar,” dedi. Yönetim profili ona bağlandığı takdirde veri yolu (dataplane) arayüzünü de etkiler.

Aşağıdaki PAN-OS sürümleri PHP2Shell tarafından etkilenmektedir –

• PAN-OS 12.2
  • < 12.2.4-h1 (Düzeltme: >= 12.2.4-h1)
• PAN-OS 12.1
  • < 12.1.4-h13 (Düzeltme: >= 12.1.4-h13) (Tahmini tarih: 10/29)
  • < 12.1.7-h11 (Düzeltme: >= 12.1.7-h11)
  • < 12.1.10-h3 (Düzeltme: >= 12.1.10-h3) (Tahmini tarih: 10/30)
• PAN-OS 11.2
  • < 11.2.4-h23 (Düzeltme: >= 11.2.4-h23) (Tahmini tarih: 10/30)
  • < 11.2.7-h23 (Düzeltme: >= 11.2.7-h23)
  • < 11.2.10-h16 (Düzeltme: >= 11.2.10-h16)
  • < 11.2.13-h4 (Düzeltme: >= 11.2.13-h4)
  • < 11.2.16-h1 (Düzeltme: >= 11.2.16-h1)
• PAN-OS 11.1
  • < 11.1.4-h38 (Düzeltme: >= 11.1.4-h38)
  • < 11.1.6-h40 (Düzeltme: >= 11.1.6-h40)
  • < 11.1.7-h12 (Düzeltme: >= 11.1.7-h12) (Tahmini tarih: 10/30)
  • < 11.1.10-h36 (Düzeltme: >= 11.1.10-h36)
  • < 11.1.13-h16 (Düzeltme: >= 11.1.13-h16)
  • < 11.1.16-h4 (Düzeltme: >= 11.1.16-h4)
• PAN-OS 10.2
  • < 10.2.7-h39 (Düzeltme: >= 10.2.7-h39) (Tahmini tarih: 10/30)
  • < 10.2.10-h42 (Düzeltme: >= 10.2.10-h42) (Tahmini tarih: 10/29)
  • < 10.2.13-h27 (Düzeltme: >= 10.2.13-h27)
  • < 10.2.16-h12 (Düzeltme: >= 10.2.16-h12)
  • < 10.2.18-h13 (Düzeltme: >= 10.2.18-h13)

Düzeltme sürümleri henüz mevcut olmayan PAN-OS sürümleri için Palo Alto Networks aşağıdaki önlemleri önermektedir –

• MGT portundan gelen trafiği bir DP portu üzerinden yönlendirin; örneğin yönetim erişimi için yönetim profilini bir DP arayüzünde etkinleştirin.
• Giden Trafik Yönetimi için Sertifikayı değiştirin.
• Güvenlik duvarının inceleyebilmesi için yönetim arayüzüne giden trafiği çözümleyin.
• Yönetim hizmetlerine giden trafikte tehdit önlemini etkinleştirin.

“PAN-OS 12.2.4 ve sonraki sürümlerde Frontier Sanal Yama (ATP Plus) bulunan müşteriler, 20 Ekim’de saat 22.21’de PT sürümü yayımlanan Threat ID 543004 üzerinden önceden kapsam aldı.”

“Bu sorunun PAN-OS ve Panorama açısından oluşturduğu güvenlik riski, önerilen en iyi uygulama dağıtım kılavuzlarımıza göre yönetim arayüzüne erişimin yalnızca güvenilir dahili IP adresleriyle sınırlandırılmasıyla minimize edilmektedir.”