Producten en stacks · Firewalls, appliances en IT-tools

PHP2Shell in PAN-OS: getroffen en hoe op te lossen

De PHP-versie van PAN-OS controleren

Voer de opdracht voor uw opzet uit. Een versie vanaf 8.2.35, 8.3.36, 8.4.27 of 8.5.12 in de betreffende tak is gepatcht; oudere takken alleen met een leveranciersbuild die dat vermeldt.

show system info

De php op de opdrachtregel kan verschillen van de PHP die de site serveert. Controleer voor de zekerheid de web-SAPI (een tijdelijke phpinfo()-pagina achter een login, of de PHP-instellingen van het paneel) en verwijder die daarna. Onze versiecontrole vergelijkt het nummer voor u.

🔎 Versienummer gevonden? Plak het in de PHP2Shell-checker →

PHP2Shell in PAN-OS oplossen

Beperk de beheerinterface tot vertrouwde interne IP’s; stel hem niet bloot aan internet.
Vertrouwt u op Threat ID’s 543004 en 97622–97625, leid het beheerverkeer dan via een data-plane-poort met ontsleuteling, anders zien de signatures het niet.
Houd het advies in de gaten voor gepatchte PAN-OS- en Panorama-versies en installeer ze zodra ze verschijnen.
Zolang de leverancier geen gepatchte PHP levert, mag de PHP-interface niet bereikbaar zijn vanuit onvertrouwde netwerken: beperk hem tot een beheernetwerk, een IP-allowlist of een VPN.
Installeer de update van de leverancier zodra die verschijnt en controleer de versie opnieuw.

Laat u de controle liever aan een AI-agent over? Controleren of u getroffen bent · Oplossen met een AI-agent

Als u nog niet kunt patchen

Zet session.upload_progress.enabled = 0 waar applicaties het niet kunnen overschrijven (php.ini, php_admin_value in de FPM-pool of Apache-config) en herstart PHP.
Zet op PHP 8.5 fatal_error_backtraces = 0.
Het tijdelijke advies van PHP gaat ook over memory_limit en een lage post_max_size; volg de oplossingspagina precies, want deze instellingen dekken maar een deel van de paden.
Beperk de toegang (VPN, IP-allowlist) of haal de dienst offline als die op PHP 8.1 of ouder draait zonder backport van de leverancier. WAF-regels helpen, maar zijn geen fix.

FAQ

Is PAN-OS getroffen door PHP2Shell?

Getroffen, en de leverancier heeft nog geen fix uitgebracht. Het advies van Palo Alto noemt PAN-OS 12.2, 12.1, 11.2, 11.1 en 10.2 (alle versies) en Panorama als getroffen, met gepatchte versies „ETA: TBD”. Prisma Access, Cloud NGFW, GlobalProtect App, Cortex-producten en Prisma Cloud staan als niet getroffen vermeld. Threat Prevention-klanten moeten Threat ID’s 543004 en 97622–97625 (content 9162 of nieuwer) inschakelen; die beschermen de beheerinterface alleen als het inkomende verkeer via een data-plane-poort loopt en wordt ontsleuteld. Palo Alto is niet op de hoogte van kwaadwillig misbruik van zijn producten; de Unit 42-briefing meldt dat er proofs of concept zijn gezien.

Lost het bijwerken van PAN-OS zelf CVE-2026-109618 en CVE-2026-109619 op?

Alleen als de update gepatchte PHP bevat. PHP2Shell is een lek in de PHP-interpreter; het gaat om de PHP waarop PAN-OS draait. Controleer de versie na het bijwerken.

Welke PHP-versies lossen PHP2Shell op?

PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, uitgebracht op 21 oktober 2026. PHP 8.1 en ouder krijgen geen release van het PHP-project; alleen leveranciersbuilds met backport (of een zelf gebouwde bronpatch voor 7.4, 8.0 en 8.1) lossen ze op.

Wat als er voor PAN-OS nog geen fix is?

Houd de PHP-webinterface van internet af (VPN of IP-allowlist), pas de tijdelijke PHP-instellingen toe zoals het uitschakelen van session upload progress, en installeer de update van de leverancier zodra die uitkomt. Tijdelijke instellingen verkleinen het risico, maar zijn geen fix.

← Alle producten met ingebouwde PHP

Zie ook: Oplossing per platform · Getroffen versies · Status leveranciers

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

Onofficiële samenvatting van openbare bronnen. Deze site is niet verbonden aan de leverancier of het PHP-project en host geen exploitcode.