LONDON (IT BOLTWISE) – Angreifer nutzen laut Anbieterhinweis die kürzlich gepatchten PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619 aktiv gegen ins Internet gestellte Management-Interfaces. Die Lücken ermöglichen eine nicht authentifizierte Remote Code Execution auf betroffenen PHP-Versionen und erhalten durch eine CVSS-Bewertung von 9,2 besondere Dringlichkeit. Gleichzeitig fordert die US-Behörde CISA eine schnellere Behebung, weil sich die Schwächen mit einer weiteren Linux-Komponente zu Root-Fähigkeiten verketteten lassen. Für Administratoren steht damit vor allem die Aktualisierung der PAN-OS-Systeme sowie das Einschränken der externen Erreichbarkeit im Vordergrund.
Palo Alto Networks warnt vor aktiver Ausnutzung von PHP2Shell-Schwachstellen über öffentlich erreichbare Management-Interfaces. In der Sicherheitsmitteilung heißt es, dass bereits gezielte Angriffsversuche beobachtet wurden, die sich gegen das ins Internet exponierte Management-Interface des Herstellers richten. Technisch sind die beiden Lücken als CVE-2026-109618 und CVE-2026-109619 erfasst; entscheidend ist dabei nicht nur die Nähe zu einer konkreten Produktlinie, sondern die Wirkung: Beide Schwachstellen erlauben eine nicht authentifizierte Remote Code Execution auf Systemen mit betroffenen PHP-Versionen. Mit einem CVSS-Wert von 9,2 liegt die Dringlichkeit im Bereich, in dem Sicherheits-Teams typischerweise „Critical“ priorisieren und den Patch nicht in reguläre Wartungsfenster verschieben.
Die zeitliche Abfolge liefert zusätzlichen Kontext für die operative Bewertung. Die Lücken wurden upstream durch die PHP Foundation am 21. Oktober 2026 in mehreren Versionen geschlossen, nämlich in 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Kurz danach rückte ein weiterer Angriffspfad in den Fokus: Eine israelische Sicherheitsfirma hatte zuvor einen mutmaßlichen China-nexus Kontext beschrieben, bei dem die PHP2Shell-Schwachstellen in Kombination mit einer lokalen Privilege-Eskalation im Linux-Kernel genutzt worden seien. Diese Kernel-Lücke ist als Fragnesia (CVE-2026-46300, CVSS 7,8) benannt; laut Beschreibung führte die Kette dazu, dass Angreifer Root-Rechte auf 25 Servern erlangt haben sollen – verteilt auf die USA, Japan, Taiwan und Südkorea. Auffällig ist außerdem, dass darunter drei Systeme aus einem Umfeld mit Regierungsbezug gewesen sein sollen, wobei der Anbieter-Name der Firewall-Software in diesem Zusammenhang nicht offengelegt wurde.
Für den konkreten Handlungsplan spielt die Frage der Exposition eine zentrale Rolle. Palo Alto Networks betont, dass keine besondere Konfiguration erforderlich sei, um vom Problem betroffen zu sein; das Risiko sei besonders hoch, wenn der Zugriff auf das Management-Interface von externen IP-Adressen über das Internet möglich ist. Dabei wirkt die Schwachstelle streng auf die Management-Weboberfläche: Sie umfasst das HTTPS-Web-UI sowie den XML-API-Dienst. Die Datenebene („dataplane“) wird nur dann relevant, wenn ein Management-Profil daran angebunden ist. Damit lässt sich das Problem in der Praxis meist nicht durch „hartes Netzwerksegmenting“ allein wegdiskutieren, sondern hängt an der tatsächlichen Erreichbarkeit der Management-Endpunkte und an der Frage, ob in der Architektur eine Brücke zwischen Management und weiteren Verarbeitungspfaden existiert.
Welche Versionen betroffen sind, listet der Hersteller mit Fix-Grenzen. Für PAN-OS 12.2 gilt: betroffen ist alles unter 12.2.4-h1, behoben in Versionen ab 12.2.4-h1. Gleiches Schema gilt für PAN-OS 12.1 (Fix in >= 12.1.4-h13), für 12.1.7 bis 12.1.10 (ebenfalls jeweils mit konkreten Fix-Versionen), sowie für PAN-OS 11.2, 11.1 und 10.2. In der Mitteilung tauchen zudem einzelne ETA-Hinweise für Fix-Pakete auf, was zeigt, dass nicht jede Release-Linie sofort vollständig geschlossen ist. Für genau diese Fälle empfiehlt der Anbieter temporäre Gegenmaßnahmen: so soll der eingehende Traffic für den MGT-Port über einen DP-Port geroutet werden, etwa indem ein Management-Profil für den Managementzugriff auf einer DP-Schnittstelle aktiviert wird. Zusätzlich nennt die Mitteilung die Empfehlung, das Zertifikat für eingehenden Traffic Management zu ersetzen, den Traffic für die Managementschnittstelle zu entschlüsseln, damit die Firewall ihn inspizieren kann, und Threat-Prevention für eingehende Management-Services zu aktivieren.
Mindestens ebenso wichtig wie das „Patchen“ ist die Verknüpfung zur zweiten Schwachstelle, weil sie aus einem Management-Problem eine Root-orientierte Angriffskette machen kann. CISA hat CVE-2026-46300 in das Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen und fordert Bundesbehörden auf, die Fixes bis zum 31. Oktober 2026 umzusetzen. In der Begründung wird explizit genannt, dass sich die Linux-Lücke mit den PHP2Shell-Fehlern kombinieren lasse, um PHP-Webshells zu implantieren und Kommandos mit Root-Rechten auszuführen. Das ist für Sicherheitsverantwortliche ein klares Signal: Selbst wenn eine anfängliche Ausnutzung „nur“ das Management berührt, kann die Wirkungskette später auf Identitätsdaten, Systemintegrität und Persistence ausgreifen. Dream hatte in diesem Kontext ebenfalls beschrieben, dass der Angriff gegen Active Directory gestartet worden sei; die wiedergefundenen Artefakte hätten dabei eine Credential-Extraktion und Verzeichnisaufzählung bestätigt.
Praktisch bedeutet das für Unternehmen, die auf PAN-OS und ähnliche Appliances setzen, eine eng getaktete Priorisierung. Zuerst geht es um den schnellsten Weg, externe Zugriffe auf das Management-Interface zu eliminieren oder strikt auf vertrauenswürdige interne IP-Adressen zu beschränken – genau das empfiehlt der Hersteller als Best Practice, um das Sicherheitsrisiko für PAN-OS und Panorama zu minimieren. Danach folgt ein Verifikationsschritt: Welche Instanzen laufen mit welchen Patchständen, und sind die Management-Endpunkte wirklich nur intern erreichbar? Wo Fix-Versionen noch nicht verfügbar sind, sollten die genannten Architektur- und Traffic-Controls kurzfristig umgesetzt werden, statt nur auf ein späteres Update zu warten. Insgesamt zeigt der Fall, wie stark sich die Angriffsfläche moderner Netzwerksicherheit heute nicht nur aus „klassischen“ Schwachstellen ergibt, sondern aus der Kombination aus Web-Exploitation, Webshell-Risiken und nachgelagerter Privilege Escalation.
Aus Marktsicht verschiebt diese Meldung die Erwartungen an den Umgang mit „upstream gepatcht, downstream nachgezogen“-Szenarien. Weil die PHP-Lücke in mehreren Versionen bereits geschlossen wurde, liegt die Verantwortung für die reale Risikoreduktion vor allem bei den Betreibern: Sie müssen sicherstellen, dass ihre Appliances die entsprechenden Fixstände enthalten und dass Managementpfade nicht versehentlich ins öffentliche Netz gelangen. Der Zeithorizont aus der CISA-KEV-Vorgabe erhöht den Druck zusätzlich, während die detaillierten Hinweise zu betroffenen PAN-OS-Versionen und Übergangsmitteln eine schnelle technische Umsetzung erleichtern. Entscheidend ist am Ende die Kombination aus Patch-Management, konsequentem Exposure-Redesign und einem schnellen Incident-Response-Check, falls bereits Anzeichen ungewöhnlicher Zugriffe auf das Management-UI oder den XML-API-Dienst vorliegen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHP2Shell: Aktive Ausnutzung von CVE-2026-109618/109619 trifft öffentlich erreichbare PAN-OS-Management-Interfaces" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHP2Shell: Aktive Ausnutzung von CVE-2026-109618/109619 trifft öffentlich erreichbare PAN-OS-Management-Interfaces" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHP2Shell: Aktive Ausnutzung von CVE-2026-109618/109619 trifft öffentlich erreichbare PAN-OS-Management-Interfaces« bei Google Deutschland suchen, bei Bing oder Google News!