PHP2Shell: exploit custom per PAN-OS, 25 server rooted in 15 minuti

Un attore sospettato di stato nazionale cinese ha sviluppato un exploit PHP2Shell indipendente e non pubblico, calibrato per nove versioni specifiche di Palo Alto Networks PAN-OS, e lo ha concatenato con una escalation di privilegi del kernel Linux per ottenere root su 25 server tra Stati Uniti, Giappone, Taiwan e Corea del Sud. L'intera catena, da connessione HTTPS non autenticata a webshell persistente con privilegi di root, si completa in meno di 15 minuti. L'annuncio arriva il 29 ottobre 2026 da Dream Research, con conferma indipendente di Palo Alto Networks Unit 42.

Il "paradosso della build custom": preparazione contro patch reattiva

Il dato che rende questa campagna rilevante non è la vulnerabilità in sé. PHP2Shell era già nota: Amazon aveva rilevato tentativi di sfruttamento il 17 ottobre 2026, sei giorni prima dell'onda principale. Ciò che Dream ha recuperato è un'implementazione sviluppata ex novo per la piattaforma PAN-OS, con profili di memoria testati in laboratorio per ciascuna build target.

I ricercatori hanno trovato 11 file JSON di profilo per 9 versioni di PAN-OS, contenenti offset esatti, hash SHA256, ELF build ID e parametri di geometria della memoria. Alcuni profili sono marcati "calibrati", altri "provisionali", indicando un processo di affinamento continuo. Questo livello di preparazione sfida l'assunzione difensiva secondo cui il rischio critico si concentra nel giorno zero o nel momento di pubblicazione del PoC pubblico.

"Both exploits run in a single B2 HTTP request. The total chain — from unauthenticated HTTPS connection to persistent root webshell — completes in under 15 minutes" — Dream researchers

Come funziona la catena: dalla gestione web al kernel

Il punto di ingresso è l'interfaccia di gestione PAN-OS esposta su HTTPS, che esegue PHP 8.0.30 con limite di memoria elevato. L'exploit sfrutta il meccanismo session.upload_progress di PHP per corruzione di memoria, ottenendo esecuzione di codice come utente nobody. A questo punto interviene Fragnesia (CVE-2026-46300): un attacco al sottosistema XFRM ESP-in-TCP del kernel Linux che sovrascrive /etc/pam.d/su con pam_permit.so, abilitando su root senza password.

La transizione da compromissione del processo web a escalation del kernel aggira il confinamento SELinux su httpd_t. L'exploit pianta quindi una webshell PHP di 103 byte in una directory pubblicamente accessibile. Il tutto in una singola richiesta B2 HTTP.

Il funnel di targeting: da 19.000 a 25

L'infrastruttura dell'attaccante rivela un processo di selezione metodico. Secondo Dream, l'attore ha identificato circa 19.000 firewall PAN-OS con interfaccia di gestione esposta su Internet tramite la piattaforma FOFA, ne ha sondati circa 5.000 per versione, filtrati 240 corrispondenti alle build target geograficamente rilevanti (Stati Uniti, Giappone, Taiwan, Corea del Sud), e infine compromesso 24 firewall più un server interno aggiuntivo.

Il tasso di successo nell'exploitation automatizzata è del 10%: 24 root su 240 target. Ventidue firewall hanno ricevuto solo la webshell. Due, entrambi governativi, hanno attirato attenzione aggiuntiva. Su uno di questi, l'attore ha generato 900 MB di traffico exploit, causando il crash e l'offline permanente del dispositivo.

Dal perimetro all'identità: l'attacco ad Active Directory

Il secondo firewall governativo ha ospitato un tunnel SSH inverso a 8 porte verso l'infrastruttura dell'attaccante. Attraverso questo tunnel, l'attore ha raggiunto un terzo sistema: un server interno di gestione firewall centralizzata, con accesso a tutte le configurazioni, credenziali e impostazioni di rete gestite.

Da questa posizione, l'attacco si è spostato verso Active Directory. I ricercatori di Dream confermano l'estrazione di credenziali e l'enumerazione di utenti e gruppi, oltre a tentativi di password spray, creazione di account backdoor ed estrazione di chiavi SAML. Tuttavia, specificano esplicitamente che non è possibile determinare se queste azioni successive abbiano avuto successo.

"The operation illustrates how an exposed management interface can become a path into an organization's identity infrastructure" — Dream researchers

AI tooling: acceleratore, non autore

Sull'infrastruttura recuperata sono emerse tracce di strumenti AI: installazione di Claude Code di Anthropic, piattaforma aiscan configurata con i LLM DeepSeek e Kimi, chiavi API FOFA. Secondo Dream, "la struttura del codice, lo stile dei commenti e la coerenza tra circa 40 script suggeriscono sviluppo assistito da AI". Tuttavia, la fonte precisa che "non esiste evidenza diretta che gli strumenti AI siano stati usati specificamente per scrivere l'exploit" e che "questa operazione non appare essere un attacco nation-state completamente autonomo".

L'angolo editoriale qui è la compressione del ciclo di sviluppo: anche se l'exploit principale resta opera umana, l'accelerazione nei sistemi di supporto riduce ulteriormente la finestra di risposta dei difensori.

Cosa fare adesso

• Eliminare l'esposizione su Internet delle interfacce di gestione PAN-OS: Palo Alto Networks Unit 42 conferma che solo circa lo 0,02% della base installata globale aveva queste configurazioni, ma questa frazione ha attratto l'attenzione di un attore di stato preparato.
• Inventariare le dipendenze PHP nei sistemi embedded e OT spesso esclusi dai cicli di patching, inclusi dispositivi di rete con web server integrati che non rientrano nei controlli standard delle applicazioni enterprise.
• Monitorare le catene di exploit che combinano RCE web con escalation del kernel: la compromissione del solo processo web non è contenuta se l'attaccante può transitare a root in una singola richiesta.
• Trattare ogni compromissione di firewall di gestione come potenziale compromissione di Active Directory fino a prova contraria, con verifica immediata di account anomali, configurazioni SAML e tunnel attivi.

La metrica sbagliata del rischio

La lezione della campagna PHP2Shell non è che una nuova vulnerabilità ha colpito. È che un attore aveva già superato la fase della vulnerabilità nota per arrivare a un'arma privata, mentre l'industria valutava ancora il rischio in base alla disponibilità pubblica del PoC. Il confine tra esposizione gestibile e catastrofe non è segnato dalla pubblicazione di un exploit, ma dalla preparazione di chi sceglie il bersaglio.

Il tunnel SSH nel sistema governativo statunitense, secondo Dream, "è presumibilmente ancora attivo". CISA ha inserito CVE-2026-46300 nel catalogo KEV il 28 ottobre 2026. Unit 42 ha contattato individualmente i clienti interessati. Ma per le organizzazioni che non rientrano nel 0,02% identificato, la domanda resta: quante altre interfacce di gestione esposte attendono il profilo giusto?

FAQ

L'exploit PHP2Shell usato è disponibile pubblicamente?

No. Secondo Dream, l'implementazione recuperata è "una build custom, non pubblica, non una copia di alcun exploit pubblico noto per PHP2Shell". È stata sviluppata indipendentemente e calibrata specificamente per PAN-OS.

Quanti server governativi sono stati compromessi?

Due firewall affiliati a un'organizzazione governativa statunitense non identificata sono stati rootati. Uno è crashato, l'altro ospita un tunnel SSH inverso. Un terzo server interno di gestione è stato raggiunto tramite il tunnel.

L'attore è attribuito a un gruppo APT specifico?

No. Dream attribuisce l'attività a un "sospetto attore di stato nazionale cinese" ma non nomina un gruppo APT specifico. The Record segnala che CISA ha declinato commenti sulla specifica violazione.