Palo Alto Networks ยืนยันการโจมตีช่องโหว่ PHP2Shell — CVE-2026-109618 และ CVE-2026-109619 — ต่อหน้าบริหาร PAN-OS ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต องค์กรควรจำกัดช่องทางบริหารและติดตั้ง hotfix โดยเร่งด่วน [1][2]
ข้อเท็จจริงที่ยืนยันแล้ว
ส่วนที่ได้รับผลคือ management web interface รวม HTTPS UI และ XML API ของ PAN-OS บน PA-Series, VM-Series และ Panorama ช่องโหว่นี้ไม่ได้กระทบ GlobalProtect portal, gateway และ Clientless VPN ตาม FAQ ผู้ผลิต ประกาศให้คะแนน CVSS 4.0 ที่ 9.2 สำหรับความเสี่ยงสูงเมื่อเปิดหน้าบริหารจากภายนอก [1]
Unit 42 ตรวจสอบยืนยันการโจมตีที่เชื่อม PHP2Shell กับช่องโหว่ยกระดับสิทธิ์ใน Linux จนได้สิทธิ์ root จึงเป็นหลักฐานการโจมตีจริง ไม่ใช่เพียงโค้ดสาธิต ผู้ผลิตระบุว่าการเข้าถึงหน้าบริหารจากอินเทอร์เน็ตไม่ได้เปิดเป็นค่าเริ่มต้น [2]
ตรวจ hotfix ให้ตรงสายรุ่น
ตารางผู้ผลิตระบุทางเลือกแพตช์หลายสายรุ่น ตัวอย่างปลายทางที่มีแพตช์ในแต่ละสายหลัก ได้แก่ 12.2.4-h1, 12.1.10-h3, 11.2.16-h1, 11.1.16-h4 และ 10.2.18-h13 หรือรุ่นถัดไปที่มีการแก้ไข ต้องตรวจเส้นทางอัปเกรดและความเข้ากันได้ของอุปกรณ์ก่อนติดตั้ง [1]
ALPHASEC ตรวจเทียบ release notes ของ 11.2.16-h1 ซึ่งระบุการแก้ไข CVE-2026-109618 พร้อม Timeline และ FAQ ที่ยืนยัน hotfix แล้ว แม้ข้อความทั่วไปบางส่วนในหัวข้อ Solution ยังกล่าวถึงการออกแพตช์ในอนาคต จึงอ้างอิงตารางรุ่นและหลักฐาน release โดยตรงในการประเมินสถานะ [1][3]
สิ่งที่องค์กรไทยควรดำเนินการ — ข้อวิเคราะห์ ALPHASEC
- สำรวจหน้าบริหารของไฟร์วอลล์และ Panorama รวม interface ที่ผูก management profile และจำกัดให้เฉพาะเครือข่ายหรือ jump host ที่ได้รับอนุญาต
- ให้เจ้าของระบบบันทึกรุ่นปัจจุบัน รุ่นเป้าหมาย แผนสำรองและย้อนกลับ พร้อมตรวจผลหลังติดตั้ง ไม่ปิดงานจากสถานะดาวน์โหลดแพตช์เพียงอย่างเดียว
- หากเคยเปิดหน้าบริหารสู่ภายนอก ให้ทีม SOC ตรวจบันทึกการบริหารและความผิดปกติตามแนวทาง Unit 42 เก็บหลักฐานก่อนเปลี่ยนระบบ และประสานผู้ผลิตเมื่อสงสัยว่าถูกบุกรุก
- แยกงานอุดช่องโหว่ออกจากงานตอบสนองเหตุ: การแพตช์ไม่ได้เป็นหลักฐานว่าสิ่งที่ผู้โจมตีติดตั้งไว้ถูกกำจัดแล้ว
แหล่งอ้างอิง
ตรวจต้นทาง 1 พฤศจิกายน 2569 เวลา 19:12–19:19 น. ไทย