Palo Alto ยืนยัน ช่องโหว่ PHP RCE ส่งผลกระทบต่อ PAN-OS และอุปกรณ์ Network หลายรายการ

 

Palo Alto Networks ยืนยันว่า พบช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายระยะไกล (RCE) ระดับ Critical ของ PHP จำนวน 2 รายการ ซึ่งส่งผลกระทบต่อ PAN-OS และก่อนหน้านี้ได้ส่งผลกระทบต่อบริการคลาวด์ 2 รายการ ช่องโหว่ดังกล่าวมีหมายเลข CVE-2026-109618 และ CVE-2026-109619 ทำให้ทางบริษัทต้องวางแผนเตรียมออก Hotfix สำหรับ Firewall รวมถึงคำแนะนำให้จำกัดการเข้าถึง management interfaces

บริษัทได้อัปเดตคำแนะนำด้านความปลอดภัยเมื่อวันที่ 24 ตุลาคม 2026 โดยระบุว่า ขณะนี้ยังไม่พบข้อมูลว่ามีการนำช่องโหว่ดังกล่าวไปใช้โจมตีผลิตภัณฑ์ของบริษัท อย่างไรก็ตาม ทีม Unit 42 ได้พบโค้ดสาธิตการโจมตี (Proof-of-Concept) ในวงกว้างของช่องโหว่ PHP นี้แล้ว ซึ่งเป็นที่รู้จักกันในชื่อ PHP2Shell

รายละเอียดช่องโหว่ PHP RCE 

ช่องโหว่ทั้งสองรายการเกี่ยวข้องกับวิธีการที่ PHP จัดการกับ errors ผ่านฟังก์ชัน longjmp() ซึ่งเป็นฟังก์ชันที่ย้ายการทำงานของโปรแกรมกลับไปยังจุดที่เคยบันทึกสถานะไว้ก่อนหน้า หน่วยความจำที่ไม่ปลอดภัยที่หลงเหลืออยู่ในระหว่างกระบวนการนี้ ทำให้ผู้โจมตีเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

• CVE-2026-109618: เกิดขึ้นเมื่อเกิด error Out-of-memory เข้าไปขัดจังหวะการจัดการกับ request ทำให้หน่วยความจำที่ใช้รองรับ request นั้นค้างอยู่ในสถานะที่ยังไม่พร้อมใช้งาน หากมีการเรียกใช้งานระบบ Cleanup ในภายหลัง อาจมีการไปใช้หน่วยความจำที่ไม่สมบูรณ์นั้น ผู้โจมตีสามารถจงใจทำให้เกิด memory exhaustion เพื่อทำให้เกิดสถานะที่ไม่ปลอดภัยนี้ และเข้าสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้
• CVE-2026-109619: เกี่ยวข้องกับการอ้างอิงหน่วยความจำส่วนกลาง (Global Memory References) ที่ยังคงชี้ไปยังหน่วยความจำส่วนเดิมที่ถูกคืนค่า (Freed) ไปแล้ว requests อื่น ๆ ในภายหลังอาจเข้ามาอ่าน หรือดำเนินการผ่านข้อมูลอ้างอิงเก่าเหล่านี้ ซึ่งถือเป็นการสร้างอีกช่องทางหนึ่งให้ผู้โจมตีเรียกใช้โค้ดที่ตนควบคุมได้

ช่องโหว่ของ PHP นี้มีคะแนนความรุนแรง CVSS 4.0 สูงถึง 9.2 อย่างไรก็ตาม Palo Alto ประเมินผลกระทบต่อผลิตภัณฑ์ของตนอยู่ที่ระดับ 8.7 ซึ่งถือว่ามีความรุนแรงระดับ High โดยการประเมินแสดงให้เห็นว่า ผลกระทบหลัก จะเกิดกับคุณสมบัติด้านความพร้อมใช้งานของระบบ (Availability) มากกว่าจะเป็นการขโมยข้อมูล หรือการถูกแอบแก้ไขระบบโดยไม่ได้รับอนุญาต

เวอร์ชัน PAN-OS และบริการที่ได้รับผลกระทบ

เวอร์ชันที่มีความเสี่ยงได้แก่ PAN-OS 10.2, 11.1, 11.2, 12.1 และ 12.2 ที่ทำงานอยู่บน Firewall ตระกูล PA และ VM รวมถึงระบบ Panorama ที่ครอบคลุมทั้งระบบ Virtual และ M-Series ก็ได้รับผลกระทบเช่นกัน โดยตัวซอฟต์แวร์สามารถถูกโจมตีได้โดยไม่จำเป็นต้องมีการตั้งค่าที่ผิดปกติแต่อย่างใด

ความเสี่ยงนี้จำกัดอยู่เฉพาะ management web interface ซึ่งรวมถึง administration console (HTTPS) และ XML API ส่วนอินเทอร์เฟซ Dataplane จะเสี่ยงก็ต่อเมื่อมีการ attached management profile เอาไว้ด้วย ส่วน GlobalProtect Portals, Gateways, Clientless VPN และ Captive Portal จะไม่ได้รับผลกระทบในกรณีนี้

สำหรับ Cortex XCORE SaaS และ WildFire Cloud ที่เคยได้รับผลกระทบก่อนหน้านี้ ได้รับการแพตช์แก้ไขไปแล้วเมื่อวันที่ 21 และ 22 ตุลาคม ตามลำดับ ส่วนผลิตภัณฑ์ที่ระบุว่าไม่ได้รับผลกระทบในขณะนี้ ได้แก่ Cloud NGFW, Cortex XDR, Cortex XSIAM, Prisma Cloud, Prisma Access และแอป GlobalProtect

Hotfixes สำหรับ PAN-OS ณ วันที่ 24 ตุลาคม ยังคงอยู่ในระหว่างขั้นตอนการเตรียมการ และยังไม่มีให้ใช้งาน การเปิดตัวที่น่าจะเร็วที่สุดคือเวอร์ชัน 10.2.18-h13, 11.1.16-h4 และ 11.2.10-h16 ภายในวันที่ 26 ตุลาคม ขณะที่ PAN-OS 12.2.4-h1 คาดว่าจะปล่อยในวันที่ 28 ตุลาคม และแผนการออก hotfix อื่น ๆ มีกำหนดไปจนถึงวันที่ 30 ตุลาคม วันที่ดังกล่าวยังเป็นเพียงการประมาณการเท่านั้น

ก่อนที่แพตช์แก้ไขจะมาถึง ผู้ดูแลระบบควรจำกัดการเข้าถึงโดยอนุญาตเฉพาะ IP Address ภายในเครือข่ายที่เชื่อถือได้เท่านั้น หรือใช้ Jump Box ที่กำหนดไว้โดยเฉพาะ ทั้งนี้ management interface ที่เชื่อมต่อกับอินเทอร์เน็ตมีความเสี่ยงสูงสุด รายงานก่อนหน้านี้เกี่ยวกับการโจมตีของ RedTail ที่ใช้ประโยชน์จาก Firewall Palo Alto และ Ransomware ที่มุ่งเป้าไปที่อุปกรณ์ VPN นั้นเป็นภัยคุกคามที่แยกออกไป ไม่ใช่การโจมตี PHP2Shell ที่ได้รับการยืนยันต่อ PAN-OS Secure Networks

การป้องกันภัยคุกคามได้ครอบคลุมผ่านการอัปเดต Signature 543004 และ Signature เพิ่มเติมตั้งแต่เวอร์ชัน 9162, 9163 และ 9164 ขึ้นไป การจะใช้งานการป้องกันนี้ จำเป็นต้องตั้งค่า routing management traffic ผ่านพอร์ต Dataplane, ตั้งค่า Inbound Certificate, ถอดรหัสการส่งข้อมูล HTTPS และต้องเปิดใช้งาน Threat Prevention Inspection ด้วย

ผู้ดูแลระบบควรติดตามข้อมูลการอัปเดตจากผู้พัฒนา และรายงานจาก Unit 42 อย่างใกล้ชิด ตรวจสอบแผนการอัปเดตระบบของตน และถือว่าการจำกัดการเข้าถึงข้างต้นเป็นเพียงการป้องกันชั่วคราว ไม่ใช่วิธีการแก้ปัญหาอย่างถาวรจนกว่าจะติดตั้งซอฟต์แวร์เวอร์ชันที่แก้ไขเสร็จแล้ว

ที่มา : cybersecuritynews