Die PHP Foundation hatte die Fehler am 21. Oktober 2026 im Upstream behoben – in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Wenige Tage vor der Warnung hatte das israelische Sicherheitsunternehmen Dream berichtet, ein mutmaßlich China-naher Akteur kombiniere die Schwachstellen mit einer lokalen Rechteausweitung im Linux-Kernel, die als Fragnesia (CVE-2026-46300, CVSS 7.8) geführt wird. Auf diesem Weg seien 25 Server in den USA, Japan, Taiwan und Südkorea unter Root-Kontrolle gebracht worden, darunter drei Systeme einer US-Regierungsnahen Umgebung. „Die betroffenen Geräte laufen mit bestimmten Versionen der Firewall-Software eines großen Herstellers", so Dream. „Der Angreifer startete anschließend Angriffe gegen Active Directory. Die gesicherten Artefakte belegen das Abgreifen von Zugangsdaten und die Aufzählung des Verzeichnisses." Dream nannte den Firewall-Hersteller nicht; der zeitliche Zusammenhang mit dem Hinweis von Palo Alto Networks sowie der Umstand, dass andere Netzwerksicherheitsanbieter keine böswillige Ausnutzung gegen ihre Produkte gemeldet haben, legen einen Zusammenhang nahe.

Die US-Cybersicherheitsbehörde CISA hat CVE-2026-46300 daraufhin in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen; Bundesbehörden müssen die Korrekturen bis zum 31. Oktober 2026 einspielen. „Diese Schwachstelle kann mit CVE-2026-109618 und CVE-2026-109619 verkettet werden, um PHP-Webshells einzuschleusen und Befehle als Root auszuführen", erklärte CISA.

Nach Angaben von Palo Alto Networks ist keine besondere Konfiguration nötig, um betroffen zu sein. Das Risiko sei auf PAN-OS am höchsten, wenn der Zugriff auf die Management-Oberfläche von externen IP-Adressen aus dem Internet erlaubt ist. „Dieses Problem betrifft ausschließlich die Management-Weboberfläche, also die HTTPS-Web-UI und den XML-API-Dienst", so das Unternehmen. „Die Dataplane-Schnittstelle ist nur betroffen, wenn ihr ein Management-Profil zugewiesen ist."

Betroffene PAN-OS-Versionen:

  • PAN-OS 12.2 < 12.2.4-h1 (behoben ab 12.2.4-h1)
  • PAN-OS 12.1 < 12.1.4-h13 (behoben ab 12.1.4-h13, voraussichtlich 29.10.), < 12.1.7-h11 (behoben ab 12.1.7-h11), < 12.1.10-h3 (behoben ab 12.1.10-h3, voraussichtlich 30.10.)
  • PAN-OS 11.2 < 11.2.4-h23 (voraussichtlich 30.10.), < 11.2.7-h23, < 11.2.10-h16, < 11.2.13-h4, < 11.2.16-h1
  • PAN-OS 11.1 < 11.1.4-h38, < 11.1.6-h40, < 11.1.7-h12 (voraussichtlich 30.10.), < 11.1.10-h36, < 11.1.13-h16, < 11.1.16-h4
  • PAN-OS 10.2 < 10.2.7-h39 (voraussichtlich 30.10.), < 10.2.10-h42 (voraussichtlich 29.10.), < 10.2.13-h27, < 10.2.16-h12, < 10.2.18-h13

Für Versionen ohne verfügbares Update empfiehlt Palo Alto Networks folgende Gegenmaßnahmen:

  • eingehenden Verkehr für den MGT-Port über einen DP-Port leiten, etwa durch Aktivieren eines Management-Profils auf einer DP-Schnittstelle für den Verwaltungszugriff
  • das Zertifikat für das Inbound Traffic Management ersetzen
  • eingehenden Verkehr zur Management-Oberfläche entschlüsseln, damit die Firewall ihn prüfen kann
  • Threat Prevention für den eingehenden Verkehr zu den Management-Diensten aktivieren

„Kunden mit Frontier Virtual Patching (ATP Plus) auf PAN-OS 12.2.4 und neueren Versionen erhielten vorab Schutz über die Threat-ID 543004, die am 20. Oktober um 22:21 Uhr PT veröffentlicht wurde", so das Unternehmen. Das Sicherheitsrisiko auf PAN-OS und Panorama werde minimiert, wenn der Zugriff auf die Management-Oberfläche gemäß den empfohlenen Best-Practice-Leitlinien auf vertrauenswürdige interne IP-Adressen beschränkt bleibe.