Ataques exploram falhas PHP2Shell em firewalls Palo Alto

Segurança

Campanha chinesa aproveita vulnerabilidades para comprometer firewalls e servidores PHP globalmente.

Leia também: Microsoft acelera IA ágil para resolver crises globais em semanas

Um grupo hacker ligado à China encadeia falhas PHP2Shell em dispositivos PAN-OS da Palo Alto Networks com o bug de escalada de privilégio Fragnesia, no kernel Linux, para tomar acesso root a firewalls de borda e instalar webshells. Ao menos 25 equipamentos já foram comprometidos ao longo da última semana, em uma campanha que também tenta, até agora sem sucesso confirmado, explorar sites WordPress e outros sistemas PHP expostos à internet.

Firewalls de borda sob ataque coordenado

A ofensiva mira principalmente firewalls da Palo Alto Networks com a interface de gerenciamento exposta à internet. A empresa confirmou que os invasores exploram as vulnerabilidades PHP2Shell, catalogadas como CVE-2026-109618 e CVE-2026-109619, em conjunto com o bug Fragnesia para obter o controle máximo do sistema.

Segundo a própria fabricante, a campanha foi inicialmente detectada pela empresa de segurança Dream Research, que identificou ao menos 25 firewalls comprometidos entre centenas de dispositivos monitorados. “Dream Research has reported a campaign in which attackers chained PHP2Shell with a Linux kernel privilege-escalation vulnerability to gain root access. Unit 42 has independently verified the same attacker’s tooling and confirmed the reported results”, informou a Palo Alto Networks, citando sua equipe de inteligência Unit 42.

Uma vez exploradas as falhas, os invasores conseguem executar código remotamente, escalar privilégios via Fragnesia e instalar webshells com acesso root. O objetivo é assumir o controle dos equipamentos que protegem redes corporativas inteiras, abrindo caminho para espionagem, roubo de dados e movimentação lateral silenciosa.

Atualizações e exposição de interfaces

Para mitigar a ameaça, a Palo Alto Networks liberou patches que corrigem as falhas PHP2Shell em versões do PAN-OS das linhas 12.2, 12.1, 11.2, 11.1 e 10.2, cobrindo os firewalls das séries PA e VM, além da plataforma de gerenciamento Panorama, em versões virtual e M-Series.

A empresa reforça que a interface de gerenciamento, vetor principal da exploração, não é exposta à internet por padrão, e que o risco cresce com configurações inadequadas. “No special configuration is required to be affected by this issue. Active exploitation has been observed targeting the Palo Alto Networks management interface exposed to the internet”, alertou em comunicado.

Apesar do potencial de dano elevado, a fabricante afirma que a fatia de clientes diretamente afetada é pequena. “Only a small fraction of a percent (approximately .02%) of our global installed base has internet-facing management interfaces configured and was impacted. Each of these customers has been individually contacted by our teams”, informou, acrescentando que as investigações continuam.

Entenda o contexto

A campanha ocorre em meio a uma onda de ataques automatizados contra servidores PHP em todo o mundo. Dados de telemetria da Palo Alto Networks indicam mais de 22,6 milhões de instâncias PHP expostas potencialmente vulneráveis às falhas PHP2Shell, reflexo do uso massivo da linguagem em servidores e sistemas de gestão de conteúdo, como WordPress, Drupal e Joomla.

Os ataques são considerados oportunistas, mirando diversos setores com forte uso de dispositivos de borda e aplicações web, entre eles saúde, tecnologia, serviços profissionais, automotivo, educação, manufatura, construção e varejo. IPs de origem dos ataques foram rastreados principalmente em Estados Unidos, Holanda e Alemanha, embora o grupo por trás da campanha de maior impacto seja associado a interesses chineses.

WordPress está sendo invadido por PHP2Shell?

Até agora, não há confirmação de sites WordPress comprometidos por PHP2Shell, apesar do volume alto de tentativas de ataque. A empresa de segurança Defiant, focada nesse ecossistema, registrou até o dia 29 mais de 77 mil requisições relacionadas às falhas, vindas de mais de 2 mil endereços IP, mas sem casos comprovados de invasão bem-sucedida.

Os testes conduzidos por especialistas indicam que os exploits precisam ser adaptados a cada servidor, por causa de fatores como a aleatorização de memória (ASLR), variações na compilação do PHP, extensões ativas, limites de memória e a forma como o servidor lida com requisições. Essa necessidade de customização tem dificultado uma exploração em larga escala de sites comuns, ao contrário do cenário nos firewalls, em que a superfície de ataque é mais padronizada.

A Defiant alerta, contudo, que o risco é real e que a evolução das ferramentas dos criminosos tende a reduzir essas barreiras técnicas. “Attackers are still changing their tools. A successful attack could give them access to your site’s files, database, and passwords, so updating PHP remains essential”, afirmou a empresa.

Foco das tentativas e setores mais visados

Levantamento da Cato Networks aponta que cerca de 96% dos ataques bloqueados se concentraram na falha CVE-2026-109618, uma das duas associadas ao PHP2Shell. Desses, 41% eram tentativas de execução remota de código — o resto se dividia entre varreduras e provas de conceito inválidas.

Apesar da origem concentrada em poucos IPs nos Estados Unidos, Holanda e Alemanha, o disparo dos ataques é amplo e automatizado, alcançando diferentes segmentos ao longo do mesmo dia. A análise de tráfego mostra esforço maior contra organizações de saúde, seguidas por empresas de tecnologia e segurança, serviços profissionais, indústria automotiva, instituições de ensino e entidades sem fins lucrativos, além de manufatura, construção e varejo.

Exploração confirmada e ameaça em evolução

Entre o grande volume de tentativas, poucas explorações completas foram confirmadas fora do universo dos firewalls Palo Alto. A WatchTowr, especializada em testes de intrusão, relata ter observado exploração bem-sucedida de PHP2Shell a partir de um único endereço IP na Alemanha.

“In every case, it executes a simple ‘curl’ command to prove exploitation was successful, and stops there, with no additional post-exploitation activity”, explicou Jake Knott, chefe de inteligência de ameaças da empresa. Ou seja, os invasores, nesse caso, parecem estar testando a eficácia dos vetores, sem ainda avançar para roubo de dados ou instalação de backdoors complexos.

Para Knott, a fase atual é de rápida experimentação por parte dos ofensores. “New techniques, inventive payloads, and better appliance-specific exploits are being thrown around as more reliable exploits are worked on, and we’re likely to only see public reporting of highly targeted successful exploitation of specific edge appliances keep growing”, afirmou.

O que as empresas devem fazer agora

A orientação imediata da Palo Alto Networks para seus clientes é restringir o quanto antes o acesso à interface de gerenciamento dos firewalls, garantindo que ela não esteja exposta diretamente à internet, e aplicar os patches de PAN-OS já disponibilizados.

Para administradores de servidores PHP e sites em WordPress e outros CMSs, a recomendação é atualizar o PHP para versões corrigidas, revisar regras de firewall e WAF, monitorar logs em busca de requisições suspeitas relacionadas às falhas PHP2Shell e fortalecer controles de acesso remoto.

Empresas de segurança envolvidas no monitoramento da campanha avaliam que, com o uso de inteligência artificial para ajustar exploits e encadear vulnerabilidades como PHP2Shell e Fragnesia, a sofisticação e o alcance dos ataques contra dispositivos de borda tendem a crescer nas próximas semanas, em especial em setores críticos como saúde e tecnologia.