守りの要が侵入口に　PAN-OSでPHP2Shell悪用、CVSS 9.2の脆弱性でroot権限を奪われる

　パロアルトネットワークスは、ファイアウォールなどに搭載するOS「PAN-OS」が、PHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）の影響を受け、すでに悪用されていると明らかにした。公式アドバイザリと、脅威分析チーム「Unit 42」が10月29日に更新した脅威ブリーフで説明している。

　Unit 42によると、Dream Researchが、PHP2ShellとLinuxカーネルの権限昇格の脆弱性を組み合わせ、インターネットに公開されたPAN-OSの管理画面を狙ってroot権限を奪う攻撃を報告した。Unit 42は攻撃者のツールを独自に検証し、報告された結果を確認したという。

　公式アドバイザリは、深刻度を最も高い「Critical」、CVSS 4.0のスコアを9.2とした。悪用状況は「ATTACKED」で、対応の緊急度も最高の「HIGHEST」と位置づけている。対象は、ファイアウォール「PA-Series」「VM-Series」と、管理製品「Panorama」のPAN-OS。管理用のWebインターフェース（HTTPSのWeb UIとXML API）が影響を受け、特別な設定がなくても該当する。データプレーン側のインターフェースは、管理プロファイルを割り当てている場合に限って影響を受ける。

　修正版は、12.2系が12.2.4-h1以降、12.1系が12.1.10-h3以降、11.2系が11.2.16-h1以降、11.1系が11.1.16-h4以降、10.2系が10.2.18-h13以降。古い版には系統ごとの修正版も用意した。同社は、管理インターフェースをインターネットに公開している場合は公開をやめ、アクセスを信頼できる内部のIPアドレスに限定するよう求めている。管理アクセスを踏み台（ジャンプボックス）に限った場合、評価はMedium、CVSSは5.2に下がるという。

　一方、GlobalProtect（ポータル、ゲートウェイ、クライアントレスVPN）とキャプティブポータルは、影響を受けないとしている。

　Unit 42は、同社のCortex Xpanseが脆弱な可能性のあるPHPのインスタンスを2,260万件超確認したと説明した。そのうえで、全世界の設置台数のうち、管理画面をインターネットに公開して影響を受けた機器は約0.02％で、該当する顧客には個別に連絡したという。PHP2Shellは、米CISAが悪用確認済みの脆弱性カタログにも追加している。