PAN-OS 管理介面外露成突破口：PHP2Shell 漏洞鏈入侵事件
iThome 報道指，Dream Security 發現一宗針對 Palo Alto Networks 防火牆及管理伺服器的攻擊活動。研究方稱，攻擊者把 PHP2Shell 漏洞（CVE-2026-109618、CVE-2026-109619）與 Linux 本機提權漏洞 Fragnesia（CVE-2026-46300）串連，目標是取得設備的 root 權限；受影響目標涉及台灣、日本、韓國及美國。
事件的關鍵不只在於兩個漏洞可被串連。iThome 指出，攻擊者先從公開可見的管理介面篩選目標，再按地點及軟件版本鎖定設備。在詳細攻擊路徑中，24 部防火牆被成功入侵，另有一部內部防火牆管理伺服器經橫向移動後失守，合計為 25 部 server。這亦解釋報道標題的 24 部與內文所述 25 部之間的差異：前者是防火牆數目，後者包括管理伺服器。
Palo Alto Networks 向 iThome 表示，全球約 0.02% 用戶把防火牆管理介面直接暴露於互聯網，並會聯絡可能受影響的用戶。對企業而言，這類配置把原本應受嚴格存取控制的管理平面，變成可被大規模資產搜尋及版本篩選的入口。即使對外設備本身只負責邊界防護，一旦被取得最高權限，攻擊者仍可能從設定檔及連線關係掌握內部網絡結構。
AD 風險來自管理平面失守後的橫向移動
iThome 報道所述個案中，攻擊者曾利用反向 SSH 通道及 SOCKS5 代理進入內網，接觸網域控制站、VPN 基礎設施及管理伺服器。取得管理伺服器 root 權限後，攻擊者據報解密 LDAP 服務帳號密碼，並枚舉 AD 網域的用戶及群組。
這表示防火牆管理帳號、LDAP 整合帳號和內網管理通道，應視為同一條高風險信任鏈。若管理 server 可讀取或使用 AD 服務憑證，邊界設備被入侵的影響便不會止於設備配置外洩，還可能演變成身分資料暴露及內網橫移。
不過，必須區分已觀察到的行為與未獲證實的結果。iThome 指出，研究人員看見攻擊者嘗試密碼潑灑、建立後門帳號及取得 Keycloak 的 SAML 簽章金鑰，但因欠缺執行結果紀錄，未能確認這些後續行動是否成功。同樣地，Dream Security 在攻擊基礎設施找到 Claude Code、配合 DeepSeek 與 Kimi 的工具及相關指令碼，因而推測攻擊者可能以 AI 協助開發；這不等同已證實為自主 AI 攻擊。
管理員應先核查三個面向
- 曝露面：盤點所有 PAN-OS 防火牆及管理 server，確認管理介面有否直接對外開放，並收窄至受控管理網絡或既定來源；同時核對實際軟件版本與供應商安全公告所列修補狀態。
- 日誌與帳號：檢查管理登入、設定匯出、異常命令執行、Web Shell 痕跡，以及由防火牆或管理 server 發出的異常 SSH、代理及內網連線；審視 LDAP 服務帳號的使用紀錄和權限。
- 修補與隔離：依官方公告套用適用更新及緩解措施；如發現可疑跡象，先隔離受影響管理平面，輪換可能被讀取的管理及 LDAP 憑證，並追查 AD、VPN 與單一登入系統的異常存取。
報道未列出受影響 PAN-OS 的確切版本或修補狀態，因此機構不應僅按漏洞名稱判斷是否安全，應以 Palo Alto Networks 的官方安全公告及自身資產清單作最後核對。使用相關設備的企業、教育機構、金融機構及 MSP，尤其需要檢視管理介面是否意外暴露；下一步值得觀察的是供應商調查能否進一步釐清受影響版本、入侵指標及後續受害範圍。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
