Hackers Exploit PHP2Shell RCE Vulnerabilities to Gain Root Access on Palo Alto Firewalls
2026/10/31 gbhackers — PHP2Shell の脆弱性と Linux カーネルの脆弱性 Fragnesia を組み合わせて悪用する攻撃者が、Palo Alto Networks の PAN-OS システムで root 権限を取得した。インターネットに公開された24台のファイアウォールが侵害された後、攻撃者はさらに内部のファイアウォール管理サーバにも侵入し、合計 25台のシステムが侵害されたと報告されている。Dream Research による攻撃キャンペーンの分析を引用する Hunt.io の調査では、ハニーポットに対する脆弱性の悪用から、本番環境のシステムへの侵害に至る経緯が説明されている。
攻撃者が PHP2Shell のリモート・コード実行の脆弱性を悪用
ただし、今回の調査結果は、さまざまな PHP サーバに対して、大規模な攻撃を安定して成功させられることを立証するものではない。ソフトウェアのビルドやメモリ配置の違いにより、攻撃の成功が困難になるためである。
PHP2Shell は、CVE-2026-109618／CVE-2026-109619という、2件の深刻なメモリ安全性の脆弱性を指す。いずれも CVSS 4.0 のスコアは 9.2 である。これらの脆弱性は、PHP のセッション・アップロード処理と、メモリ不足時のメモリ解放処理に関係しており、脆弱な構成ではリモート・コード実行が可能になる場合がある。
攻撃者が制御するマルチパート形式のアップロードデータを処理する、PHP の session.upload_progress 機構を通じて、この攻撃は開始される。
具体的には、細工したリクエストによりヒープメモリの割り当てが操作され、アドレス空間配置のランダム化 (ASLR) を回避するために必要なメモリアドレスが漏えいする。さらに、内部のデータ構造が偽造され、プログラムの実行先が PHP の system() 関数へ変更される。
PAN-OS を侵害する攻撃者は、管理用 Web サーバである appweb を標的とし、独自の非公開エクスプロイトを開発していた。公開されている概念実証 (PoC) をそのまま使用するのではなく、バージョンに依存するメモリオフセットと、アプライアンス環境に合わせて調整したヒープメモリの配置を利用していた。
最初のコード実行は、権限が制限された Web サーバの実行環境内で行われた。その後に攻撃者は、脆弱性 CVE-2026-46300 に対応する Fragnesia を悪用し、root 権限へ昇格した。一連の攻撃が安定して成功した要因として、標的となった管理環境で共通の PHP 8.0.30 ビルドが使用されていたことを、Hunt.io は挙げている。
回収された攻撃キャンペーンの証拠によると、インターネットに公開された約 19,000台のファイアウォールが、FOFA を介して特定されていた。フィンガープリンティングにより、約 5,000台の応答する機器が確認され、地域とソフトウェアのバージョンによる絞り込みを経て、最終的に240台が攻撃対象として選定された。
その後に、脆弱性に対する自動化された悪用により、境界ネットワークに設置された 24台のファイアウォールが侵害された。攻撃者は、米国政府関連の環境へ向けた永続的なリバース SSH トンネルを確立し、同じ一連の攻撃手法を内部のファイアウォール管理サーバにも使用した。
この追加の侵害により、被害が報告されたシステムは合計 25台となり、管理設定やディレクトリサービスの認証情報が漏えいした。
これとは別に、Hunt.io は、130.94.67[.]235 で公開されていたディレクトリから、”panos_rce_poc.py” および “prce.py” を発見した。これらのファイルは、PHP2Shell の攻撃手法が PAN-OS 向けに改変されていることを示している。ただし、エクスプロイト・ツールが公開されているという事実は、特定の標的への侵害が成功したことを証明するものではない。
組織に求められるのは、ベンダーが提供する PAN-OS の修正プログラムの適用を優先し、管理インターフェイスのインターネット公開を制限することだ。単独で運用されている PHP 環境では、使用しているリリース系列に応じて、修正版の 8.2.35／8.3.36／8.4.27／8.5.12 へと更新する必要がある。
修正パッチの適用を延期せざるを得ない場合には、session.upload_progress.enabled を無効化することで、アップロード進捗処理を悪用する攻撃経路に対して、一時的な保護を提供できる。
防御側にとって必要なことは、異常なマルチパート形式のアップロード／通常より大きい PHPSESSID Cookie／Web サーバのプロセスからのシェル起動／予期しない外部への通信などの調査である。これらの兆候を、管理インターフェイスのアクセスログと照合し、不正な永続化や横展開を示す証拠との関連を確認することが推奨される。
IOCs
| IP / host | ASN | Hosting provider | Country | Role |
|---|---|---|---|---|
| 162.35.99[.]94 | AS19318 | Interserver | US | Confirmed source, honeypot shells |
| 15.204.59[.]70 | AS16276 | OVH | US | Confirmed source, honeypot shells |
| 2.59.133[.]151 | AS58212 | dataforest GmbH | DE | Confirmed source, GreyNoise |
| 208.115.245[.]98:8088 | AS46475 | Limestone Networks | US | Staging cluster |
| 208.115.245[.]99:8088 | AS46475 | Limestone Networks | US | Staging cluster |
| 208.115.245[.]102:8088 | AS46475 | Limestone Networks | US | Staging cluster |
| 185.242.106[.]140:8000 | AS42532 | SIA VEESP | LV | Operational toolkit |
| 45.39.190[.]176:8000 | AS211273 | Cloud Software FZCO | HK | Dev/build box, Moodle victim |
| 130.94.67[.]235:80,8080 | AS154177 | Light Node Limited | JP | PAN-OS repackage |
| 45.83.180[.]113:19001 | AS62005 | BlueVPS | EE | IoC/kit tracker |
| 15.204.59[.]70:81 | AS16276 | OVH | US | Post-exploitation staging |
| 162.35.99[.]94:8090 | AS19318 | Interserver | US | Metabase/H2, separate exploit |
| 85.121.179[.]129 | AS48753 | AlexHost SRL | MD | Exploit-development host; lab info-leak working |
| 34.146.20[.]31 | AS396982 | Google LLC | JP | Shared 9bie kit, lab RCE |
| 38.60.136[.]217 | AS154177 | Light Node Limited | FR | Shared 9bie kit, lab RCE |
| 96.126.130[.]81 | AS149440 | Evoxt | JP | Shared 9bie kit (variant), lab RCE |
| 101.133.233[.]159 | AS37963 | Alibaba Cloud | CN | Shared 9bie kit plus scanner |
| 144.217.161[.]236 | AS16276 | OVH | CA | Staging; govt finance targets |
| 152.42.245[.]8 | AS14061 | DigitalOcean | SG | Staging; commercial targets |
| 23.27.25[.]75 | AS149440 | Evoxt | DE | Staging; education/commercial |
| 130.12.180[.]89 | AS202412 | Omegatech | DE | php2shell attempted, failed; pivoted to other bug |
| 45.225.135[.]53 | AS64107 | RACK SPHERE | NL | SMTP/XXE operator; php2shell scanner only |
注： IP アドレスとドメインは、意図しない名前解決やハイパーリンク化を防ぐため、[.] などを使用して意図的に無効化されている。元の形式に戻す操作は、MISP、VirusTotal、SIEM など、管理された脅威インテリジェンス環境内でのみ実施する必要がある。
この記事は、Palo Alto Networks の PAN-OS システムおよび PHP 環境において発生した複合的な攻撃侵害事例について解説するものです。PHP2Shell によるメモリ安全性の欠陥と Linux カーネルの脆弱性 Fragnesia を組み合わせた段階的な攻撃が背景に存在します。影響として、Web サーバ上でのコード実行／最高権限への昇格／管理設定や認証情報の漏えいが生じる恐れがあります。対応策として、修正パッチの適用／管理用の外部公開の制限／設定項目の無効化／予期しない通信の監視が求められます。 (対象 CVE：CVE-2026-109618／CVE-2026-109619／CVE-2026-46300)
You must be logged in to post a comment.