Palo Alto Confirms PHP RCE Vulnerabilities Impact PAN-OS and Multiple Network Products
2026/10/24 CyberSecurityNews — Palo Alto Networks が確認したのは、PHP に存在する深刻なリモート・コード実行の脆弱性 2件が PAN-OS に影響し、先行して 2つのクラウド・サービスにも影響していたことだ。これらの PHP の脆弱性 CVE-2026-109618／CVE-2026-109619 の悪用を受け、同社はファイアウォール向けホットフィックスの提供を計画する一方で、管理インターフェイスへのアクセスを制限するよう顧客に勧告している。
Palo Alto Networks がセキュリティ・アドバイザリを更新したのは、2026年10月24日のことである。ただし同社は、自社製品を標的とする攻撃については把握していないと説明している。その一方で Unit 42 は、PHP2Shell と呼ばれる、PHP 自体の脆弱性を対象とする概念実証 (PoC) エクスプロイトを確認している。
PHP のリモートコード実行の脆弱性
2つの脆弱性は、PHP が重大なエラーを処理する際に使用する、longjmp() 関数に関連している。longjmp() は、プログラムの実行位置を、以前に保存された位置へ移動させる関数である。しかし、その処理の過程でメモリが安全でない状態で残されることにより、攻撃者がリモートコード実行を引き起こす可能性がある。
CVE-2026-109618：メモリ不足時の不適切な処理
CVE-2026-109618 は、メモリ不足 (Out-of-Memory) エラーに起因するリクエスト処理の中断により、リクエスト用メモリが初期化されない状態で残される場合に発生する。その後のクリーンアップ処理での初期化により、不完全なメモリが使用される可能性がある。攻撃者は意図的にメモリ不足を発生させることで、この安全でない状態を引き起こし、リモートコード実行につなげられる可能性がある。
CVE-2026-109619：解放済みメモリへの参照
CVE-2026-109619 は、メモリが解放された後も、その領域を指し続けるグローバルなメモリ参照に関する脆弱性である。後続のリクエストが、こうした無効になった参照を読み取り、それに基づいて処理を実行することで、攻撃者が制御するコードが実行される可能性がある。
PHP 自体の脆弱性は、CVSS v4.0 で 9.2 と評価されている。その一方で Palo Alto Networks は、自社製品への影響を CVSS 8.7 (High) と評価している。同社の製品固有の評価では、影響を受けるセキュリティ特性として可用性が挙げられており、データの窃取や不正な変更が確認されたことを意味するものではない。
影響を受ける PAN-OS のバージョンとサービス
影響を受ける PAN-OS のブランチは、以下のとおりである。
- PAN-OS 10.2
- PAN-OS 11.1
- PAN-OS 11.2
- PAN-OS 12.1
- PAN-OS 12.2
対象には、PA-Series および VM-Series のファイアウォールが含まれる。また、仮想アプライアンスや M-Series システムを含む Panorama の導入環境も影響を受ける。
この脆弱性の悪用に際して、特別な設定が必要となるわけではない。ただし、攻撃にさらされるインターフェイスは、管理用 Web インターフェイスに限定される。具体的には、HTTPS 管理コンソールおよび XML API が対象となる。
データプレーン・インターフェイスについては、管理プロファイルが割り当てられている場合にのみ影響を受ける。一方、GlobalProtect ポータル／GlobalProtect ゲートウェイ／Clientless VPN／Captive Portal は影響を受けない。
クラウドサービスへの影響
以前は、Cortex XCORE SaaS および WildFire Cloud も影響を受けていたが、それぞれ以下の日付に修正が適用された。
| サービス | 修正日 | 状況 |
|---|---|---|
| Cortex XCORE SaaS | 2026年10月21日 | 修正済み |
| WildFire Cloud | 2026年10月22日 | 修正済み |
また、次の製品は、現時点で影響を受けない製品として挙げられている。
- Cloud NGFW
- Cortex XDR
- Cortex XSIAM
- Prisma Cloud
- Prisma Access
- GlobalProtect App
PAN-OS の修正予定
2026年10月24日時点の Palo Alto Networks のアドバイザリでは、PAN-OS 向け修正プログラムは提供されておらず、リリースが予定されている段階となっている。最も早い修正予定日は10月26日である。
| PAN-OS ブランチ | 修正予定バージョン | リリース予定日 |
|---|---|---|
| 10.2 | 10.2.18-h13 | 2026年10月26日 |
| 11.1 | 11.1.16-h4 | 2026年10月26日 |
| 11.2 | 11.2.10-h16 | 2026年10月26日 |
| 12.2 | 12.2.4-h1 | 2026年10月28日 |
| その他の対象ホットフィックス | 個別の修正ビルド | 2026年10月30日までに順次予定 |
上記は10月24日時点の予定であり、リリース日は確定していない。PAN-OS 12.1 を含む各ブランチの正確な修正経路については、ベンダーの最新情報で確認する必要がある。
パッチ公開までの緩和策
修正プログラムが提供されるまでの間、管理者にとって必要なことは、信頼できる内部 IP アドレスまたは専用のジャンプボックスに、管理インターフェイスへのアクセスを制限することだ。特に、インターネットから直接アクセス可能な管理インターフェイスは、最も高いリスクにさらされる。
過去には、RedTail が Palo Alto Networks のファイアウォールを悪用した事例や、ランサムウェア攻撃者が VPN アプライアンスを標的とした事例も報告されている。ただし、これらは今回とは異なる脅威であり、PAN-OS に対する PHP2Shell の悪用が確認されたことを示すものではない。
Threat Prevention による保護
Palo Alto Networks の Threat Prevention による保護には、シグネチャ 543004 と、コンテンツ・バージョン 9162／9163／9164 以降を通じて提供される、追加のシグネチャが含まれている。
ただし、これらの保護を有効に機能させるには、次の条件を満たす必要がある。
- 管理トラフィックをデータプレーン・ポート経由でルーティングする。
- 受信トラフィック用の証明書を設定する。
- HTTPS トラフィックを復号する。
- Threat Prevention による検査を有効にする。
これらの条件を満たしていない場合には、シグネチャが存在していても、該当する管理トラフィックを検査できない可能性がある。
管理者にとって必要なことは、ベンダーのリリース情報および Unit 42 の脅威分析を継続的に確認し、使用している PAN-OS に対応する正確なホットフィックスを特定することだ。
管理アクセスの制限は、修正プログラムが提供されるまでの一時的な安全対策として扱うべきであり、修正済み PAN-OS へのアップデートに代わるものではない。
悪用状況に関する注意点： 2026年10月24日時点で、PHP2Shell の PoC は確認されているが、Palo Alto Networks は自社製品に対する悪意ある悪用を把握していない。したがって、PoC の存在と、PAN-OS に対する実際の悪用が確認されたことは区別する必要がある。
この記事は、ファイアウォールおよび統合管理基盤である Palo Alto Networks PAN-OS や関連サービスにおける不正な遠隔命令実行について解説するものです。組み込まれたスクリプト言語処理部での例外発生時における記憶領域の不完全な開放や参照制御の不備が背景に存在します。影響として、制御機器内での不正なコードの実行が生じる恐れがあります。対応策として、指定された修正済みソフトウェアへの更新／管理画面に対する接続元の限定／通信検査機能の運用見直しが求められます。
You must be logged in to post a comment.