Palo Alto เตือน! ช่องโหว่ PHP2Shell กระทบ PAN-OS ด้วย เสี่ยงรันโค้ดจากระยะไกล หากเปิดหน้า Management สู่เน็ต
Palo Alto Networks ออกประกาศเตือนช่องโหว่ร้ายแรงใน PHP จำนวน 2 รายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ซึ่งนอกจากจะกระทบระบบที่ใช้ PHP แล้ว ยังส่งผลต่อ PAN-OS ระบบปฏิบัติการที่ใช้ในไฟร์วอลล์ของ Palo Alto Networks และแพลตฟอร์ม Panorama สำหรับบริหารจัดการอุปกรณ์รักษาความปลอดภัย โดยช่องโหว่อาจเปิดทางให้ผู้โจมตีสั่งรันโค้ดจากระยะไกลได้ หากระบบอยู่ในเงื่อนไขที่มีความเสี่ยง
ช่องโหว่ 2 รายการ เปิดทางรันโค้ดจากระยะไกล
ช่องโหว่ CVE-2026-109618 เกิดจากการจัดการข้อผิดพลาดเมื่อหน่วยความจำไม่เพียงพอ (Out of Memory: OOM) โดยกระบวนการจัดการข้อผิดพลาดผ่านฟังก์ชัน longjmp() ทำให้หน่วยความจำที่ใช้จัดการคำขอไม่ได้รับการกำหนดค่าอย่างถูกต้อง ผู้โจมตีจึงอาจอาศัยเงื่อนไขดังกล่าวเพื่อสั่งรันโค้ดจากระยะไกลได้
ส่วน CVE-2026-109619 เกิดจากการจัดการข้อผิดพลาดในลักษณะเดียวกัน แต่ส่งผลให้ตัวแปรหน่วยความจำส่วนกลางยังคงชี้ไปยังพื้นที่หน่วยความจำที่ถูกคืนกลับไปแล้ว เมื่อมีคำขอถัดไปเข้ามา ระบบอาจอ่านหรือใช้ข้อมูลจากตำแหน่งดังกล่าวจนเปิดช่องให้ผู้โจมตีรันโค้ดที่กำหนดเองได้
PAN-OS เสี่ยงสูงขึ้นหากเปิดหน้าจัดการให้เข้าถึงจากอินเทอร์เน็ต
จากการประเมินผลิตภัณฑ์ของบริษัท พบว่า PAN-OS บนไฟร์วอลล์ตระกูล PA-Series และ VM-Series รวมถึง Panorama ทั้งรุ่นเสมือนและ M-Series อยู่ในขอบเขตที่ต้องตรวจสอบ โดยส่วนที่ได้รับผลกระทบคือหน้าเว็บสำหรับบริหารจัดการระบบ ซึ่งครอบคลุมทั้ง HTTPS Web UI และ XML API
Palo Alto Networks ระบุว่า ความเสี่ยงจะสูงที่สุดเมื่อเปิดให้ IP Address ภายนอกอินเทอร์เน็ตเข้าถึง Management Interface ได้โดยตรง บริษัทจึงแนะนำให้จำกัดการเข้าถึงเฉพาะ IP ภายในที่เชื่อถือได้ หรือกำหนดให้เข้าถึงผ่าน Jump Box ซึ่งเป็นเครื่องกลางที่ได้รับอนุญาตเท่านั้น
สำหรับผลิตภัณฑ์รุ่นที่ยังไม่มีแพตช์ บริษัทแนะนำให้ใช้มาตรการบรรเทาความเสี่ยงตามประกาศ รวมถึงเปิดใช้งาน Threat Prevention และตรวจสอบการตั้งค่าที่จำเป็นเพื่อให้ระบบตรวจสอบทราฟฟิกที่เข้าสู่บริการจัดการได้อย่างเหมาะสม
ประกาศฉบับนี้ระบุว่า ณ เวลาที่เผยแพร่ Palo Alto Networks ยังไม่พบหลักฐานการใช้ช่องโหว่ทั้งสองโจมตีผลิตภัณฑ์ของบริษัทโดยตรง อย่างไรก็ตาม ผู้ดูแลระบบควรตรวจสอบเวอร์ชันที่ใช้งานและติดตามประกาศอัปเดตอย่างใกล้ชิด เนื่องจากสถานะการแก้ไขของ PAN-OS แต่ละสาขาแตกต่างกัน และกำหนดการออกแพตช์อาจมีการเปลี่ยนแปลง