PHP2Shell sur PAN-OS : l'interface d'administration du pare-feu devient la porte d'entrée

Un pare-feu n'est pas qu'un moteur de filtrage. Son plan d'administration est un petit serveur web : la console HTTPS que l'on ouvre dans un navigateur, et l'API XML qu'utilisent les outils d'automatisation. Sur PAN-OS, ce serveur s'appuie sur PHP.

Palo Alto le dit sans détour : la faille touche strictement l'interface web d'administration, console HTTPS et API XML. Une interface de données n'est concernée que si un profil d'administration y est attaché. Aucune configuration particulière n'est nécessaire pour être touché.

Le risque dépend donc d'une question réseau, pas d'une question PHP : qui peut joindre l'interface d'administration ?

CVE-2026-109618 et CVE-2026-109619, notées 9,2, critiques, en CVSS 4.0. Le projet PHP les a corrigées le 21 octobre 2026 (PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12). Les deux permettent d'exécuter du code sans s'authentifier.

Chez Palo Alto Networks, sont touchés PAN-OS sur les pare-feu PA-Series et VM-Series, et Panorama. Ne sont pas touchés, selon l'avis : Prisma Access, Cloud NGFW, Strata Cloud Manager, ainsi que le portail et la passerelle GlobalProtect et le Captive Portal.

Le 29 octobre, l'avis indique que des correctifs sont publiés pour toutes les branches suivies : 10.2, 11.1, 11.2, 12.1 et 12.2. Les versions plus anciennes, hors support, doivent passer à une version corrigée.

Unit 42, l'équipe de recherche de Palo Alto, rapporte une campagne qui a enchaîné PHP2Shell et une élévation de privilèges du noyau Linux, CVE-2026-46300, pour obtenir les droits root sur des interfaces d'administration PAN-OS exposées. Unit 42 a vérifié de son côté l'outillage et les résultats. La CISA a ajouté CVE-2026-46300 à son catalogue des vulnérabilités exploitées le 28 octobre.

Palo Alto indique qu'une très faible part de sa base installée, de l'ordre de quelques centièmes de pour cent, avait une interface d'administration joignable depuis Internet, et que ces clients ont été contactés un par un. Les clients corrigés, et ceux qui n'exposent pas l'interface, ne sont pas touchés selon le constructeur.

Beaucoup d'équipements réseau embarquent PHP dans leur console. Cisco liste des produits touchés, dont Expressway et Duo Access Gateway, sans exploitation connue contre ses produits. Fortinet a confirmé que FortiOS n'est pas touché et examine FortiDDoS et FortiSOAR. Le bon réflexe vaut pour tous : savoir quelles consoles d'administration existent sur le réseau, et d'où on peut les joindre.

Dans l'ordre donné par Palo Alto : retirer tout accès Internet à l'interface d'administration, la limiter à des adresses internes de confiance ou à un bastion, puis appliquer le hotfix corrigé de votre branche.

En attendant le correctif, l'avis liste des mesures : faire passer l'accès d'administration par une interface de données pour que le pare-feu l'inspecte, avec Threat Prevention et les signatures publiées (dont l'identifiant 543004).

NacTrack lit la configuration exportée de chaque pare-feu PAN-OS : le modèle, la version et le niveau de hotfix, à comparer à la table de l'avis. Sa règle de conformité NTC-PAN-1.2 signale un pare-feu dont l'accès d'administration n'est pas restreint par une liste d'adresses autorisées, et d'autres règles signalent HTTP en clair et Telnet sur l'interface d'administration.

NacTrack détecte et rapporte. Il ne corrige rien, ne bloque rien, et ne remplace pas un test depuis Internet : une liste d'adresses autorisées dans la configuration ne dit pas ce que voit un attaquant de l'extérieur. Pour PAN-OS, la lecture se fait à partir de la configuration exportée, sans collecte automatique.

Sources : avis Palo Alto Networks CVE-2026-109618, Unit 42, alerte CISA du 28 octobre 2026, avis Cisco, avis Fortinet FG-IR-26-186, et l'article de The Hacker News.

Formation défensive : l'attaque est décrite dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Vérifiez votre plateforme et votre version dans l'avis du constructeur, qui fait foi.