PHP2Shell da root em Palo Alto Networks
Ataques combinam falhas em PHP e escalada de privilégio contra firewalls PAN-OS.
Resumo rapido
Há mais de uma semana, atacantes exploram as falhas críticas batizadas de PHP2Shell. O caso mais grave confirmado atingiu firewalls Palo Alto Networks, com acesso root obtido pelo encadeamento do PHP2Shell com a falha Fragnesia. Mais de 22,6 milhões de instâncias expostas podem estar afetadas.
Neste artigo voce vai aprender:
- O que é a campanha PHP2Shell reportada pela SecurityWeek.
- Por que firewalls Palo Alto Networks aparecem entre os casos confirmados.
- Como os atacantes encadearam duas falhas para ganhar controle elevado.
- Quais sinais merecem atenção em servidores e firewalls expostos.
- Quais ações práticas priorizar agora.
Mais de 22,6 milhoes de instancias no raio de alcance
A SecurityWeek reportou que grupos criminosos vêm atacando servidores vulneráveis ao PHP2Shell há mais de uma semana. As falhas em questão são CVE-2026-109618 e CVE-2026-109619, ambas classificadas como críticas. O número que chama atenção é o da superfície exposta: mais de 22,6 milhões de instâncias podem estar potencialmente afetadas.
Apesar do volume de tentativas, o material analisado aponta poucos comprometimentos confirmados. O destaque ficou com firewalls Palo Alto Networks rodando PAN-OS, invadidos por um grupo ligado à China. Nas tentativas contra WordPress, a exploração não prosperou, embora o relatório não detalhe o motivo técnico.
Duas falhas encadeadas ate o acesso root
O ataque confirmado acontece em duas etapas bem definidas. Primeiro, os invasores exploram as falhas PHP2Shell nos dispositivos PAN-OS. Em seguida, acionam a vulnerabilidade Fragnesia, de escalada de privilégio no kernel Linux, para chegar ao acesso root.
Root significa controle total do sistema, sem restrição de permissão. Com esse nível de acesso, os criminosos instalaram webshells, portas de entrada remotas que garantem persistência mesmo após reinicializações e trocas de senha. A pesquisa citada indica que a operação foi assistida por IA e que pelo menos 25 firewalls, dentro de um conjunto de centenas avaliados, acabaram comprometidos.
Sinais de alerta que merecem investigacao imediata
Empresas que operam firewalls Palo Alto Networks ou mantêm servidores PHP expostos precisam caçar atividade anômala agora, sem esperar por um alerta automático. Vale concentrar a análise nos seguintes pontos:
- Acessos administrativos fora do padrão ou em horários incomuns.
- Arquivos novos ou modificados sem mudança planejada.
- Processos desconhecidos rodando no firewall ou servidor.
- Conexões externas inesperadas partindo do equipamento.
- Indícios de webshells ou scripts não autorizados.
Prioridades para as proximas 72 horas
A primeira medida é mapear rapidamente tudo que está exposto à internet e pode rodar PHP ou PAN-OS. Com a lista em mãos, priorize os ativos que concentram risco: firewalls, portais administrativos e servidores públicos. Inventário desatualizado é o que transforma uma tentativa em incidente prolongado.
- Verifique se há dispositivos Palo Alto Networks PAN-OS expostos.
- Revise logs de acesso e administração da última semana.
- Procure alterações não autorizadas em arquivos e configurações.
- Restrinja interfaces administrativas à internet sempre que possível.
- Acompanhe comunicados oficiais do fornecedor e aplique correções disponíveis.
Checklist pratico
- Liste servidores PHP e firewalls Palo Alto Networks acessíveis pela internet.
- Investigue logs recentes em busca de acessos anormais e arquivos suspeitos.
- Reduza exposição, limite acesso administrativo e valide atualizações do fornecedor.
Perguntas frequentes
O PHP2Shell já comprometeu muitos sistemas?
O relato aponta muitas tentativas ao longo de mais de uma semana, mas poucos comprometimentos confirmados. O caso mais relevante envolve pelo menos 25 firewalls Palo Alto Networks.
WordPress foi comprometido nesses ataques?
Não. Segundo o material analisado, os ataques falharam contra WordPress, e o motivo técnico dessa falha não foi detalhado na publicação.
Minha empresa deve se preocupar se não usa Palo Alto Networks?
Sim, se houver instâncias PHP expostas. Os 22,6 milhões de instâncias potencialmente afetadas mostram que o risco não se limita a um único fornecedor.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua empresa a identificar exposição externa, validar evidências de invasão e priorizar correções em ambientes críticos antes que uma tentativa vire incidente.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://www.securityweek.com/php2shell-attacks-root-palo-alto-firewalls-but-fail-against-wordpress/
Compartilhe nas redes sociais:
