Palo Alto Networks ถูกเจาะสิทธิ์ Root ผ่านช่องโหว่ PHP2Shell

ผู้ไม่หวังดีพยายามโจมตีเซิร์ฟเวอร์ที่มีช่องโหว่ PHP2Shell มานานกว่าหนึ่งสัปดาห์ แต่จนถึงปัจจุบันมีเพียงไม่กี่รายเท่านั้นที่ได้รับการยืนยันว่าถูกเจาะระบบได้สำเร็จ

กรณีที่โดดเด่นที่สุดคือไฟร์วอลล์ของ Palo Alto Networks ซึ่งถูก rooted โดยกลุ่มแฮกเกอร์ที่มีความเชื่อมโยงกับจีน ผ่านการโจมตีแบบ chaining ระหว่างช่องโหว่ PHP2Shell และ Fragnesia kernel เพื่อยกระดับสิทธิ์การเข้าถึง

กลุ่มแฮกเกอร์ได้ใช้ AI ช่วยในการเชื่อมโยง exploit สองตัวเข้าด้วยกัน โดยพุ่งเป้าไปที่ช่องโหว่ PHP2Shell หมายเลข CVE-2026-109618 และ CVE-2026-109619 บนอุปกรณ์ PAN-OS ของ Palo Alto Networks โดยเฉพาะ ร่วมกับช่องโหว่ Fragnesia เพื่อติดตั้ง webshells พร้อมสิทธิ์ root

บริษัทความปลอดภัยไซเบอร์ Dream รายงานว่ามีไฟร์วอลล์อย่างน้อย 25 เครื่องจากกลุ่มตัวอย่างหลายร้อยเครื่องถูกแฮก ซึ่งทาง Palo Alto Networks ได้ยืนยันผลการตรวจสอบดังกล่าวแล้วว่าเป็นการใช้ช่องโหว่ร่วมกับ Linux kernel privilege-escalation จริง

ทางบริษัทได้เร่งออกแพตช์แก้ไขใน PAN-OS เวอร์ชัน 12.2, 12.1, 11.2, 11.1 และ 10.2 สำหรับอุปกรณ์ตระกูล PA-Series, VM-Series และ Panorama ทั้งแบบ virtual และ M-Series

ใน คำแนะนำ ระบุว่าการโจมตีจริง (active exploitation) พุ่งเป้าไปที่ management interface ที่เปิดเผยสู่หน้าอินเทอร์เน็ต แม้โดยปกติส่วนนี้จะไม่ถูกเปิดทิ้งไว้ แต่บริษัทได้กระตุ้นให้ลูกค้าจำกัดการเข้าถึงและติดตั้งตัวแก้ไขทันที โดยระบุว่ามีลูกค้าเพียง 0.02% เท่านั้นที่ได้รับผลกระทบและได้รับการติดต่อโดยตรงแล้ว

อินสแตนซ์ PHP ที่เปิดเผยกว่า 22.6 ล้านรายการ

ข้อมูล telemetry ณ วันที่ 29 ตุลาคม พบอินสแตนซ์ PHP กว่า 22.6 ล้านรายการที่เปิดเผยสู่สาธารณะและเสี่ยงต่อบั๊ก PHP2Shell เนื่องจาก PHP ถูกใช้งานอย่างแพร่หลายในระบบจัดการเนื้อหา (CMS) เช่น WordPress, Drupal และ Joomla

แม้จะมีการตรวจพบคำขอโจมตีที่เกี่ยวข้องกับ WordPress กว่า 77,000 รายการจาก IP กว่า 2,000 แห่ง แต่ทาง Defiant ระบุ ว่ายังไม่พบรายงานเว็บไซต์ WordPress ถูกเจาะระบบสำเร็จ เนื่องจาก exploit ต้องอาศัยการปรับแต่งเฉพาะตัวตามสภาพแวดล้อมของเซิร์ฟเวอร์

แหล่งที่มาการโจมตีจาก IP เพียงไม่กี่แห่ง

ข้อมูลจาก Cato Networks เผยว่า 96% ของการโจมตีมุ่งเน้นไปที่ CVE-2026-109618 โดยมาจาก IP เพียงไม่กี่แห่งในสหรัฐอเมริกา เนเธอร์แลนด์ และเยอรมนี กลุ่มเป้าหมายหลักคือองค์กรด้านการดูแลสุขภาพ เทคโนโลยี และบริการความปลอดภัย

Jake Knott จาก WatchTowr ให้ความเห็นว่า การโจมตีส่วนใหญ่ยังเป็นเพียงการรันคำสั่ง 'curl' เพื่อพิสูจน์การเจาะระบบ แต่เตือนว่าในอนาคตอาจมีการพัฒนา exploit ที่เสถียรและเฉพาะเจาะจงมากขึ้น ซึ่งอาจนำไปสู่การโจมตีอุปกรณ์เฉพาะทางที่ประสบความสำเร็จเพิ่มขึ้นตามไปด้วย