Een vermoedelijk aan China gelieerde actor combineerde de PHP2Shell-kwetsbaarheden met een apart Linux-kernellek, door onderzoekers Fragnesia genoemd, om minstens 25 servers in de Verenigde Staten, Japan, Taiwan en Zuid-Korea volledig over te nemen. Beveiligingsbedrijf Dream Security ontdekte de campagne en meldt dat drie van die servers tot een Amerikaanse, aan de overheid gelieerde omgeving behoorden.
Hoe de keten werkt
De aanvaller gebruikte een op maat gemaakte, “gewapende” versie van de PHP2Shell-exploit (CVE-2026-109618 en CVE-2026-109619) om eerst toegang te krijgen tot een server. Vervolgens zette de actor Fragnesia in, geregistreerd als CVE-2026-46300, een logicafout in het XFRM ESP-in-TCP-onderdeel van de Linux-kernel die lokale rechtenverhoging naar root mogelijk maakt en behoort tot de zogeheten Dirty Frag-kwetsbaarheidsklasse. Er is inmiddels publieke proof-of-concept-code voor beschikbaar. Linux-distributies met een kernel van vóór 13 mei 2026 zijn kwetsbaar. Na het verkrijgen van root-toegang richtte de aanvaller zich op Active Directory: Dream Security vond sporen van credential-extractie en directory-enumeratie, plus ongeveer 40 op maat gemaakte scripts voor de fase na de inbraak.
Palo Alto Networks bevestigt eigen PAN-OS geraakt
Palo Alto Networks bevestigde op 28 oktober op de hoogte te zijn van Dream Security’s melding en meldt zelf actief misbruik tegen de eigen PAN-OS-managementinterface, specifiek exemplaren die vanaf het publieke internet bereikbaar zijn. Volgens het bedrijf heeft minder dan 0,01 procent van de wereldwijde installatiebasis een internet-gerichte managementinterface, en zijn alle mogelijk getroffen klanten rechtstreeks benaderd. Het risico geldt voor de HTTPS-webinterface en de XML-API; de dataplane-interface is alleen kwetsbaar als daar een managementprofiel aan gekoppeld is. Getroffen zijn de releaselijnen PAN-OS 10.2, 11.1, 11.2, 12.1 en 12.2 vóór 12.2.4-h1, met sommige fixbuilds pas verwacht op 29 of 30 oktober. Klanten met Frontier Virtual Patching (ATP Plus) op PAN-OS 12.2.4 en nieuwer kregen via dreigings-ID 543004 al op 20 oktober vooraf bescherming.
CISA voegde CVE-2026-46300 toe aan zijn Known Exploited Vulnerabilities-catalogus en gaf Amerikaanse federale instanties een deadline om te patchen, net als eerder al gebeurde voor de PHP2Shell-CVE’s zelf.
Kan de PAN-OS-fix nog niet meteen worden geïnstalleerd, dan adviseert Palo Alto Networks het managementverkeer via een dataplane-poort te routeren in plaats van de managementpoort, het certificaat voor inkomend managementverkeer te vervangen, inkomend verkeer naar de managementinterface te laten ontsleutelen zodat de firewall het kan inspecteren, en threat prevention op dat verkeer te activeren. De belangrijkste stap blijft echter simpel: zet de managementinterface nooit rechtstreeks open op het publieke internet.
Voor Nederlandse organisaties met PAN-OS-firewalls of Linux-servers die nog niet recent zijn bijgewerkt, is dit een directe aansporing om beide kanten van deze aanvalsketen te checken: de managementinterface van firewalls hoort nooit vanaf internet bereikbaar te zijn, en Linux-servers verdienen een kernelupdate ongeacht of er al een concreet PHP2Shell-risico op draait, want de combinatie van beide lekken is precies wat deze aanvaller succesvol maakte.
Bron: The Hacker News, BleepingComputer en Dream Security
Wat betekent dit voor jouw bedrijf?
Draait uw organisatie een PAN-OS-managementinterface die vanaf het publieke internet bereikbaar is? Haal die nu offline of beperk de toegang tot vertrouwde IP-adressen, update naar de gepatchte PAN-OS-build voor uw versielijn, en controleer of Linux-servers met een kernel van vóór 13 mei 2026 al zijn bijgewerkt tegen CVE-2026-46300.
Zelfde kwetsbaarheid
InfraTrust-rapport waarschuwt voor actief misbruikte lekken in kritieke netwerkinfrastructuur
DreigingenCISA bevestigt actief misbruik PHP2Shell: eerste succesvolle hack vastgesteld, federale patchplicht
DreigingenKritiek PHP-lek 'PHP2Shell' legt Tweede Kamer en tientallen overheidssites plat
DreigingenPHP2Shell-update: details lekten uit vóór patch, webshops en CMS'en doelwit van scans
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.