本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
サイバーセキュリティ企業Dreamは2026年10月26日、パロアルトネットワークスのファイアウォール24台と内部管理サーバー1台の計25台が、脆弱性を連鎖利用した攻撃によってroot権限を奪われたと報告した。米国政府関連とみられる組織では、内部ネットワークへの侵入も確認されたという。同社のUnit 42も攻撃ツールを独自に検証し、報告結果を確認した。
コード実行から権限昇格、内部ネットワークへ
Dreamの分析によると、攻撃者はPHPの脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）を悪用してコードを実行し、Linuxカーネルの脆弱性「Fragnesia」（CVE-2026-46300）でroot権限に昇格した。インターネットに公開されたPAN-OSの管理インターフェースが最初の侵入口となった。
攻撃は10月23日に始まった。Dreamが攻撃者側の標的一覧や実行記録を分析したところ、攻撃者は世界の公開ファイアウォール約1万9000台を探索し、応答した約5000台から、米国、日本、台湾、韓国に所在する対応バージョン240台へ対象を絞り込んでいた。そのうち24台のファイアウォールでroot権限を取得した。
侵害後の活動には差があった。24台のうち22台ではWebシェル設置後の追加活動を確認しなかった一方、米政府関連とみられる環境ではファイアウォールから内部ネットワークへ侵入し、管理サーバー1台も侵害した。攻撃者はLDAPサービスアカウントのパスワードを取得し、Active Directoryのユーザー・グループ情報を列挙していた。追加攻撃がどこまで成功したかは判明していない。
Dreamは、同組織への持続的な接続が調査時点でなお稼働している可能性も指摘している。
ベンダーが検証、管理アクセスの制限を要請
Unit 42は10月29日の更新で、同じ攻撃者のツールを独自に検証し、Dreamの報告結果を確認したと公表した。パロアルトネットワークスは、利用可能な修正を適用することで、観測された攻撃の連鎖を遮断できると説明している。
同社は、管理インターフェースのインターネット公開を解除し、管理アクセスを信頼できる内部IPアドレスに制限したうえで、該当するPAN-OS修正版を適用するよう求めている。10月29日更新の公式アドバイザリでは各系統の修正版が案内されている。Unit 42によると、管理インターフェースは初期設定ではインターネットに公開されない。
参考・出典
- Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers
- Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619
- CVE-2026-109618 Impact of Critical Vulnerabilities in PHP on Palo Alto Networks Products
- Suspected Chinese attackers built a custom PHP2Shell exploit and rooted 25 servers
- php2shell: Why One Exploit Doesn’t Work Everywhere
