PHP2Shell: další vývoj. Útočníci už využívají zranitelnosti proti síťové infrastruktuře

PHP2Shell už má potvrzené oběti i mezi síťovými bezpečnostními zařízeními. Palo Alto Networks potvrdil aktivní zneužívání zranitelností proti internetově dostupným rozhraním pro správu PAN-OS. Pro firmy to znamená vedle aktualizace také prověřit, zda zařízení již nebylo kompromitováno.

V minulém Weekly Security Brief o PHP2Shell jsme popsali kritické chyby PHP a doporučení NÚKIB k bezodkladné aktualizaci. Nyní přibyla potvrzená zjištění o útocích na infrastrukturu, která má firemní síť chránit.

Co je u PHP2Shell nově potvrzené?

Unit 42 v aktualizaci z 29. října 2026 potvrdila aktivní zneužívání PHP2Shell proti veřejně dostupnému managementu PAN-OS. Nezávisle ověřila nástroje útočníka i výsledky popsané výzkumníky Dream Research.

Dream Research popisuje kampaň s 25 kompromitovanými servery a zařízeními PAN-OS. Útočník spojil PHP2Shell (CVE-2026-109618 a CVE-2026-109619) s chybou linuxového jádra Fragnesia (CVE-2026-46300), která umožnila zvýšení oprávnění na root. Získané artefakty podle výzkumníků dokládají také navazující aktivitu proti Active Directory, získávání přihlašovacích údajů a mapování adresáře.

Jde o konkrétní doloženou kampaň. Číslo 25 nelze vydávat za úplný počet obětí PHP2Shell na světě ani za potvrzení plošného napadení všech firewallů.

Které rozhraní je zasažené?

Bezpečnostní advisory Palo Alto Networks vymezuje problém na management webové rozhraní PAN-OS, tedy HTTPS administraci a XML API. U datových rozhraní se týká těch, která mají připojený management profil. Vendor výslovně uvádí, že GlobalProtect portal, gateway a Clientless VPN nejsou zasaženy.

Rozhodující je konkrétní verze a konfigurace. Aktuální seznam dotčených sestavení, oprav a dočasných opatření je proto potřeba kontrolovat přímo v advisory výrobce. Samotná přítomnost zařízení v síti ještě neznamená potvrzenou kompromitaci.

Proč je napadený firewall zásadní problém?

Bezpečnostní a edge zařízení stojí na rozhraní mezi internetem a interním prostředím. Spravují pravidla komunikace a mohou mít přístup do dalších částí infrastruktury. Pokud útočník ovládne jejich správu, získává výhodnou pozici pro další průzkum a pohyb po síti.

Právě proto dává smysl hodnotit nejen samotné zařízení, ale i jeho vazby: kam se z něj lze připojit, které identity používá a jaké privilegované přístupy jsou z jeho prostředí dosažitelné.

Co mají firmy udělat teď?

• Ověřit verze a skutečnou expozici. Zahrnout firewally i centrální správu. Porovnat konkrétní sestavení s advisory a nasadit odpovídající opravu výrobce.
• Omezit přístup ke správě. Odstranit veřejný přístup z internetu a povolit pouze důvěryhodné interní adresy či vyhrazený přístupový server podle doporučení vendora.
• Prověřit známky kompromitace. Zkontrolovat aktuální IOC, neautorizované změny konfigurace, nové účty, neobvyklé procesy, soubory a odchozí spojení. Absence jednoho indikátoru sama o sobě čistotu zařízení nedokazuje.
• Propojit logy a navazující aktivitu. Prověřit správní přihlášení, síťovou komunikaci a události v identitních systémech včetně Active Directory. Hledat nečekané použití privilegovaných účtů i přístupy do dalších segmentů.
• Při podezření zahájit řešení incidentu. Uchovat důkazy, omezit další přístup útočníka a s výrobcem či incident response týmem určit rozsah zásahu a bezpečný způsob obnovy. Podle zjištěné expozice zneplatnit relace a obnovit přístupové údaje z důvěryhodného prostředí.

Stačí samotná aktualizace?

U již kompromitovaného zařízení nemusí stačit. Oprava uzavírá zranitelnost, ale sama neprokazuje odstranění zadních vrátek, obnovení důvěryhodné konfigurace ani zneplatnění dříve získaných přístupů. Návrat do provozu má proto navazovat na ověření rozsahu incidentu.

Pro české firmy je to praktický důvod propojit vulnerability management, bezpečnost síťové infrastruktury, správu identit a privilegovaných přístupů s průběžným monitoringem. Prioritu neurčuje jen závažnost CVE, ale také dostupnost zařízení z internetu a to, co jeho ovládnutí útočníkovi otevře.

Potřebujete ověřit tyto souvislosti ve vlastním prostředí? Podívejte se na služby kybernetické bezpečnosti ComSource.

Firewall má chránit vaši síť. Co když se ale sám stane vstupní branou útočníka?

Weekly Security Brief · 2. listopadu 2026. Stav ověřen k 2. 11. 2026. Primární zdroje: Palo Alto Networks / Unit 42, Dream Research a NÚKIB, odkazy přímo v textu.

Ilustrační fotografie: Eric Stoynov / Unsplash (licence).