Ravie Lakshmanan 29 Ekim 2026 Güvenlik Açığı / Ağ Güvenliği
Palo Alto Networks Çarşamba günü tehdit aktörlerinin yakın zamanda yama yapılan PHP2Shell açıklarını internete açık yönetim arayüzlerine karşı istismar ettiğini uyardı.
Şirket uyarısını güncelleyerek, "İnternete açık Palo Alto Networks yönetim arayüzünü hedef alan aktif istismar gözlemlendi" dedi.
Açıklar CVE-2026-109618 ve CVE-2026-109619 olarak izleniyor ve CVSS puanları 9,2. Etkilenen PHP sürümlerinde saldırganların kimlik doğrulaması olmadan uzaktan kod çalıştırmasına olanak tanıyor. Sorunlar PHP Foundation tarafından 21 Ekim 2026'da 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümleriyle yukarı akışta yama edildi.
Gelişme, İsrail merkezli siber güvenlik şirketi Dream'in Çin bağlantılı olduğu değerlendirilen bir tehdit aktörünün açıkları Linux çekirdeğindeki yerel ayrıcalık yükseltme açığı Fragnesia CVE-2026-46300 CVSS puanı 7,8 ile birlikte silahlandırdığını gözlemlediğini açıklamasından günler sonra geldi. Bu zincirleme saldırı ABD, Japonya, Tayvan ve Güney Kore'de 25 sunucunun kök erişimiyle ele geçirilmesine yol açtı.
Bunların arasında ABD hükümetine bağlı bir ortamda bulunan üç sistem de vardı.
Dream, "Etkilenen cihazlar büyük bir satıcının güvenlik duvarı yazılımının belirli sürümlerini çalıştırıyor" notunu düştü. "Saldırgan daha sonra Active Directory'ye karşı saldırılar başlattı. Kurtarılan kanıtlar kimlik bilgisi çıkarma ve dizin numaralandırmasını doğruluyor."
Dream etkilenen güvenlik duvarı satıcısının adını açıklamasa da uyarının zamanlaması ve diğer ağ güvenliği şirketlerinin ürünlerine yönelik kötü niyetli istismar bildirmemesi bu olayların ilişkili olabileceğini düşündürüyor.
Gelişme ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA'nın CVE-2026-46300'u Bilinen İstismar Edilen Açıklar kataloğuna eklemesine yol açtı. Federal kurumların düzeltmeleri 31 Ekim 2026'ya kadar uygulaması gerekiyor.
CISA, "Bu açık CVE-2026-109618 ve CVE-2026-109619 ile zincirlenerek PHP web shell'leri yerleştirilmesine ve komutların root olarak çalıştırılmasına olanak tanır" dedi.
Palo Alto Networks, sorundan etkilenmek için özel bir yapılandırmanın gerekmediğini belirtti ve riskin PAN-OS'ta yönetim arayüzüne internet üzerindeki harici IP adreslerinden erişime izin verildiğinde en yüksek olduğunu ekledi.
"Bu sorun yalnızca yönetim web arayüzünü etkiler; bu HTTPS web kullanıcı arayüzü ve XML API hizmetini içerir. Yönetim profili ona eklenmişse yalnızca veri düzlemi arayüzünü etkiler."
PHP2Shell'den etkilenen PAN-OS sürümleri şunlardır:
< 12.2.4-h1 (Fixed in >= 12.2.4-h1)
< 12.1.4-h13 (Fixed in >= 12.1.4-h13) (ETA: 10/29)
< 12.1.7-h11 (Fixed in >= 12.1.7-h11)
< 12.1.10-h3 (Fixed in >= 12.1.10-h3) (ETA: 10/30)
< 11.2.4-h23 (Fixed in >= 11.2.4-h23) (ETA: 10/30)
< 11.2.7-h23 (Fixed in >= 11.2.7-h23)
< 11.2.10-h16 (Fixed in >= 11.2.10-h16)
< 11.2.13-h4 (Fixed in >= 11.2.13-h4)
< 11.2.16-h1 (Fixed in >= 11.2.16-h1)
< 11.1.4-h38 (Fixed in >= 11.1.4-h38)
< 11.1.6-h40 (Fixed in >= 11.1.6-h40)
< 11.1.7-h12 (Fixed in >= 11.1.7-h12) (ETA: 10/30)
< 11.1.10-h36 (Fixed in >= 11.1.10-h36)
< 11.1.13-h16 (Fixed in >= 11.1.13-h16)
< 11.1.16-h4 (Fixed in >= 11.1.16-h4)
< 10.2.7-h39 (Fixed in >= 10.2.7-h39) (ETA: 10/30)
< 10.2.10-h42 (Fixed in >= 10.2.10-h42) (ETA: 10/29)
< 10.2.13-h27 (Fixed in >= 10.2.13-h27)
< 10.2.16-h12 (Fixed in >= 10.2.16-h12)
< 10.2.18-h13 (Fixed in >= 10.2.18-h13)
Düzeltme sürümleri henüz mevcut olmayan PAN-OS sürümleri için Palo Alto Networks aşağıdaki hafifletmeleri önerdi:
MGT portu için gelen trafiği DP portu üzerinden yönlendir, örneğin yönetim erişimi için bir DP arayüzünde yönetim profilini etkinleştir.
Gelen Trafik Yönetimi için Sertifikayı değiştir.
Yönetim arayüzüne gelen trafiği şifre çöz, böylece güvenlik duvarı denetleyebilsin.
Yönetim hizmetlerine gelen trafikte tehdit önleme özelliğini etkinleştir.
"PAN-OS 12.2.4 ve sonraki sürümlerde Frontier Virtual Patching ATP Plus'a sahip müşteriler, 20 Ekim saat 22:21 PT'de yayınlanan Tehdit Kimliği 543004 ile sağlanan ön koruma aldı" dedi.
"PAN-OS ve Panorama'da bu sorunun oluşturduğu güvenlik riski, yönetim arayüzüne erişimi önerilen en iyi uygulama dağıtım yönergelerine göre yalnızca güvenilir dahili IP adresleriyle sınırlayarak en aza indirilir."
Palo Alto Networks Dream Raporunu Doğruladı
"İnternete açık PAN-OS yönetim arayüzlerini hedef alan yetkisiz istismar faaliyetini anlatan Dream raporunun farkındayız" diye konuştu Palo Alto Networks sözcüsü The Hacker News'e.
"Mevcut yamaları uygulamış müşteriler etkilenmiyor. Ayrıca yönetim arayüzünü genel internete açmama yönündeki standart önerimizi takip eden müşteriler de etkilenmiyor."
Tehdit özeti güncellemesinde Palo Alto Networks müşterilerin aşağıdaki adımları izlemesini öneriyor:
Etkinse yönetim arayüzlerine genel internet erişimini derhal kaldır.
Erişimi güvenilir dahili IP adresleriyle sınırla.
PHP2Shell'i ele alan mevcut PAN-OS düzeltmelerini uygula.
Sözcü ekledi: "Xpanse saldırı yüzeyi yönetimi ürünümüzden elde edilen verilere göre küresel kurulu tabanımızın binde birinden küçük bir kısmı, yüzde 0,01'den azı, internete açık yönetim arayüzü yapılandırmasına sahip ve bu potansiyel olarak etkilenen her müşteri ekiplerimiz tarafından bireysel olarak bilgilendirildi. Soruşturmaya devam edeceğiz ve gerekli güncellemeleri sağladıkça paylaşacağız."
Güncellemede Dream, "Palo Alto Networks ile güncellemeleri paylaştığını ve soruşturmada iş birliği yaptığını" doğruladı ve saldırganın "PAN-OS ürün yazılımını elde etmek, şifre çözmek, PHP kitaplıklarını çıkarmak, 9 farklı yazılım sürümü için hassas bellek profilleri oluşturmak ve laboratuvar testleriyle istismar geometrisini kalibre etmek" için önemli çaba harcadığını belirtti.
30 Ekim 2026 itibarıyla PAN-OS 12.2, PAN-OS 12.1, PAN-OS 11.2, PAN-OS 11.1 ve PAN-OS 10.2'nin tüm savunmasız sürümleri için yamalar yayınlandı. "GlobalProtect portal, gateway ve Clientless VPN etkilenmiyor" dedi Palo Alto Networks.
(Haber, Palo Alto Networks'ten gelen yanıtı içerecek şekilde yayınlandıktan sonra güncellendi.)
