PHP açıkları PAN-OS yönetim arayüzünü vurdu, internete açık cihazlarda istismar görüldü
Palo Alto Networks, PHP'deki CVE-2026-109618 ve CVE-2026-109619 açıklarının PAN-OS yönetim web arayüzünü etkilediğini duyurdu. İnternete açık yönetim arayüzlerine yönelik aktif istismar gözlendi; önem derecesi kritik seviyeye çıkarıldı.
Palo Alto Networks, 21 Ekim'de PHP yorumlayıcısındaki iki kritik açığın ürün portföyüne etkisini değerlendiren bir bülten yayımladı. CVE-2026-109618 ve CVE-2026-109619 kimlikli açıklar, PAN-OS'un yönetim web arayüzünü (HTTPS web arayüzü ve XML API) etkiliyor. Üretici 27 Ekim'de önem derecesini kritik (CVSS 4.0: 9.2), aciliyeti ise en yüksek seviyeye çıkardı.
Açıklar ne yapıyor?
Her iki sorun da PHP'nin hata yönetiminde longjmp() kullanımından kaynaklanıyor. Birincisinde bellek yetersizliği durumunda istek belleği başlatılmamış halde kalıyor; ikincisinde ise ölümcül hata sonrasında genel bellek, serbest bırakılmış bölgeleri gösteriyor. Üreticiye göre her iki durum da uzaktan kod çalıştırmaya varabiliyor.
Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›
Bültende, internete açık PAN-OS yönetim arayüzlerine yönelik aktif istismar gözlendiği belirtiliyor. Etkilenen tek ürün ailesi PA-Series ve VM-Series güvenlik duvarları ile Panorama üzerinde çalışan PAN-OS. Veri düzlemi ancak bir arayüze yönetim profili bağlanmışsa etkileniyor. GlobalProtect portal ve ağ geçidi, Clientless VPN ve Captive Portal etkilenmiyor. Cloud NGFW, Prisma Access ve Cortex ürünleri de listede etkilenmeyenler arasında.
Düzeltmeler kademeli geldi
Yamalar 27–29 Ekim arasında dal dal yayımlandı. Bültende her dal için önerilen sürümler şöyle:
- 12.2: 12.2.4-h1
- 12.1: 12.1.10-h3, 12.1.7-h11 veya 12.1.4-h13
- 11.2: 11.2.16-h1, 11.2.13-h4, 11.2.10-h16, 11.2.7-h23 veya 11.2.4-h23
- 11.1: 11.1.16-h4, 11.1.13-h16, 11.1.10-h36, 11.1.7-h12, 11.1.6-h40 veya 11.1.4-h38
- 10.2: 10.2.18-h13, 10.2.16-h12, 10.2.13-h27, 10.2.10-h42 veya 10.2.7-h39
Üretici, bu hotfix'lerin iki CVE'yi birlikte kapattığını belirtiyor. Hangi ara sürümden hangisine geçileceği için bültendeki çözüm tablosuna bakılmalı.
Ne yapılmalı?
- Yönetim arayüzünü internete kapatın; erişimi güvenilir iç IP'lerle veya bir atlama sunucusuyla sınırlayın.
- Dalınıza uygun hotfix'i en kısa sürede yükleyin.
- Threat Prevention aboneliği olanlar bültende listelenen Threat ID'leri (543004 ve 9762x–9767x aralığındaki imzalar) etkinleştirebilir.
- Yönetim arayüzü internete açık kalmış cihazlarda olağandışı yönetici etkinliği ve yapılandırma değişikliği olup olmadığını inceleyin.
