PHP2Shell: Angreifer übernehmen Palo-Alto-Firewalls über die Verwaltungsoberfläche

Angreifer nutzen die PHP-Lücken mit dem Namen PHP2Shell inzwischen aktiv gegen Firewalls von Palo Alto Networks. Das bestätigte der Hersteller am Mittwoch, dem 28. Oktober 2026, in einem Update seines Sicherheitshinweises. Betroffen sind Geräte, deren Verwaltungsoberfläche aus dem Internet erreichbar ist. Ohne Anmeldung können Angreifer dort Code ausführen und mit einer weiteren Linux-Lücke Root-Rechte erlangen.

Das Wichtigste in Kürze

• Zwei Lücken in PHP: CVE-2026-109618 und CVE-2026-109619 erlauben Codeausführung ohne Anmeldung, CVSS 9,2. Die PHP Foundation hat sie am 21. Oktober 2026 behoben.
• Aktiv ausgenutzt: Palo Alto Networks meldet Angriffe auf Verwaltungsoberflächen von PAN-OS, die aus dem Internet erreichbar sind.
• Kombiniert mit Linux-Lücke: Zusammen mit „Fragnesia“ (CVE-2026-46300) erlangen Angreifer Root-Rechte. Die US-Behörde CISA hat sie in ihren Katalog aktiv ausgenutzter Lücken aufgenommen.
• 25 Server übernommen: Laut der Sicherheitsfirma Dream traf es Systeme in den USA, Japan, Taiwan und Südkorea, darunter drei aus einem US-Regierungsumfeld.
• Sofort handeln: Verwaltungsoberfläche aus dem Internet nehmen, Zugriff auf vertrauenswürdige interne IPs beschränken, Updates einspielen.

Was hinter PHP2Shell steckt

Die beiden Schwachstellen stecken in PHP selbst, nicht in einem einzelnen Produkt. Auf betroffenen Versionen können Angreifer ohne Anmeldung eigenen Code ausführen. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Palo Alto Networks nutzt PHP für die Weboberfläche und die XML-API von PAN-OS, deshalb sind die Firewalls betroffen. Eine besondere Konfiguration ist laut Hersteller nicht nötig.

Das Datenplane-Interface ist nur betroffen, wenn ihm ein Management-Profil zugewiesen ist. Am größten ist das Risiko, wenn die Verwaltungsoberfläche von externen IP-Adressen aus dem Internet erreichbar ist.

Die Angriffe: China-nahe Gruppe, 25 Server mit Root-Zugriff

Wenige Tage vor dem Update von Palo Alto Networks hatte die israelische Sicherheitsfirma Dream über Angriffe einer mutmaßlich China-nahen Gruppe berichtet. Die Angreifer kombinierten PHP2Shell mit der Linux-Kernel-Lücke Fragnesia (CVE-2026-46300, CVSS 7,8), mit der lokale Rechte bis zu Root ausgeweitet werden können. So übernahmen sie 25 Server, auf denen laut Dream die Firewall-Software eines großen Herstellers lief. Anschließend griffen sie das Active Directory an, Zugangsdaten wurden ausgelesen.

Dream nannte den Hersteller nicht. Palo Alto Networks bestätigte gegenüber The Hacker News aber, den Bericht zu kennen. Nach Daten des eigenen Dienstes Xpanse haben weniger als 0,01 Prozent der installierten Geräte eine Verwaltungsoberfläche im Internet, diese Kunden seien einzeln kontaktiert worden. Die CISA verlangt von US-Bundesbehörden, Fragnesia bis zum 31. Oktober 2026 zu patchen. Nach ihren Angaben lässt sich die Lücke mit PHP2Shell verketten, um PHP-Webshells zu platzieren und Befehle als Root auszuführen.

Diese PAN-OS-Versionen sind behoben

Für jeden Zweig gibt es mehrere Hotfix-Stände. Einige erscheinen laut Hersteller erst am 29. und 30. Oktober.

Wo noch kein Fix bereitsteht, empfiehlt Palo Alto Networks unter anderem, den Verkehr zum Management-Port über ein Datenplane-Interface zu leiten, eingehenden Verwaltungsverkehr zu entschlüsseln und Threat Prevention darauf zu aktivieren. Kunden mit Frontier Virtual Patching auf PAN-OS 12.2.4 oder neuer waren laut Hersteller bereits seit dem 20. Oktober über die Threat-ID 543004 geschützt.

Was du jetzt tun solltest

• Verwaltung nicht ins Internet: Prüfe, ob die Weboberfläche oder XML-API deiner Firewall von außen erreichbar ist, und schalte den Zugriff sofort ab.
• Zugriff einschränken: Nur vertrauenswürdige interne IP-Adressen oder ein VPN dürfen an die Verwaltung.
• Patchen: PAN-OS auf einen der behobenen Hotfix-Stände aktualisieren.
• Eigene PHP-Server prüfen: Wer selbst PHP betreibt, etwa für WordPress, sollte auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Ältere Zweige wie 8.1 oder 7.4 bekommen von der PHP Foundation keine Updates mehr.
• Auf Spuren achten: Bei bislang exponierten Geräten nach unbekannten PHP-Dateien, neuen Konten und ungewöhnlichen Zugriffen auf das Active Directory suchen.

Einordnung

Der Fall folgt einem bekannten Muster: Eine Lücke in einer weit verbreiteten Komponente trifft Geräte, deren Verwaltung nie im Internet hätte hängen dürfen. Palo Alto Networks betont zu Recht, dass Kunden mit den empfohlenen Einstellungen nicht betroffen sind. Für alle anderen zählt jetzt jeder Tag – zwischen dem PHP-Patch und den ersten bekannten Angriffen lag kaum eine Woche.

Quellen: The Hacker News: Attackers Exploit PHP2Shell Flaws in Internet-Exposed Palo Alto Networks Management Interfaces. Titelbild: KI-generiert (Symbolbild).