Palo Alto Networks a confirmé que deux vulnérabilités critiques du langage PHP, référencées CVE-2026-109618 et CVE-2026-109619, affectent certaines versions de PAN-OS, le système d’exploitation de ses pare-feu de nouvelle génération, ainsi que les déploiements Panorama. Ces failles, regroupées sous le nom de PHP2Shell, pourraient permettre l’exécution de code à distance dans certaines conditions.
Dans son avis de sécurité actualisé le 24 octobre 2026, l’entreprise indique ne pas avoir connaissance d’une exploitation malveillante de ces vulnérabilités visant ses propres produits. Néanmoins, son unité de recherche Unit 42 a observé des preuves de concept permettant d’exploiter les failles PHP sous-jacentes. La priorité consiste donc à limiter l’exposition des interfaces d’administration et à préparer l’installation des correctifs dès leur disponibilité. Source : avis de sécurité officiel de Palo Alto Networks.
Deux vulnérabilités PHP critiques réunies sous le nom PHP2Shell
Les failles CVE-2026-109618 et CVE-2026-109619 concernent le fonctionnement interne de PHP, un langage largement utilisé pour développer des sites web, des applications et des services côté serveur.
Les deux vulnérabilités présentent un score de gravité de 9,2 sur 10 selon CVSS 4.0. Leur exploitation pourrait permettre à un attaquant distant d’exécuter du code arbitraire sur un système vulnérable, sans nécessairement disposer d’identifiants valides. Sur les produits Palo Alto Networks concernés, l’entreprise évalue l’impact à 8,7 sur 10, avec une atteinte principalement liée à la disponibilité du service. Source : Unit 42.
CVE-2026-109618 : une mauvaise gestion des erreurs de mémoire
La première vulnérabilité apparaît lorsque PHP rencontre une erreur de mémoire insuffisante, également appelée out-of-memory (OOM).
Dans certaines situations, la fonction longjmp() interrompt le traitement en cours, mais laisse des données internes de la requête dans un état incomplet. Les opérations de nettoyage qui suivent peuvent alors manipuler ces données non initialisées.
Un attaquant pourrait exploiter ce comportement en provoquant des conditions de saturation mémoire soigneusement construites. Dans un contexte vulnérable, cette manipulation peut conduire à l’exécution de code à distance.
CVE-2026-109619 : des références vers une mémoire déjà libérée
La seconde faille repose sur un problème de gestion de la mémoire différent. Certaines références globales peuvent continuer à pointer vers des zones mémoire après leur libération.
Lorsqu’une requête ultérieure utilise ces références avant leur réinitialisation correcte, PHP risque de lire ou d’exploiter des données qui ne devraient plus être accessibles. Cette situation peut également ouvrir la voie à l’exécution de code arbitraire.
Ces deux vulnérabilités touchent le moteur PHP lui-même. Leur présence dans un produit réseau dépend notamment de la manière dont celui-ci intègre et utilise les composants PHP concernés.
Quelles versions de PAN-OS et quels produits sont concernés ?
D’après l’avis officiel actualisé le 24 octobre, les vulnérabilités concernent plusieurs branches de PAN-OS utilisées sur les pare-feu PA-Series et VM-Series, ainsi que sur les systèmes Panorama, virtuels et de la série M.
Palo Alto Networks précise qu’aucune configuration particulière n’est nécessaire pour qu’une version vulnérable soit affectée. En revanche, le niveau de risque augmente fortement lorsque l’interface de gestion est accessible depuis des adresses IP publiques.
Les branches concernées comprennent PAN-OS 10.2, 11.1, 11.2, 12.1 et 12.2. Les versions correctives diffèrent selon la branche et le niveau de mise à jour installé.
Calendrier prévisionnel des correctifs
Au 24 octobre 2026, Palo Alto Networks indiquait que les correctifs étaient en préparation. Les dates ci-dessous sont des estimations de disponibilité, et non une confirmation que toutes les versions corrigées sont déjà publiées.
| Branche PAN-OS | Première version corrective indiquée | Date estimée |
|---|---|---|
| 10.2 | 10.2.18-h13 | 26 octobre |
| 11.1 | 11.1.16-h4 | 26 octobre |
| 11.2 | 11.2.10-h16 | 26 octobre |
| 12.1 | Plusieurs versions correctives selon la sous-branche | Du 28 au 30 octobre |
| 12.2 | 12.2.4-h1 | 28 octobre |
Attention : le tableau est volontairement synthétique. D’autres versions correctives sont prévues pour certaines sous-branches, notamment PAN-OS 10.2, 11.1 et 11.2. Les administrateurs doivent vérifier la version exacte de leur équipement dans l’avis de sécurité officiel CVE-2026-109618, qui fait foi en cas de modification du calendrier.
L’interface de gestion constitue le principal point d’exposition
Les vulnérabilités affectent spécifiquement l’interface web d’administration de PAN-OS, notamment :
- la console de gestion accessible en HTTPS ;
- le service API XML utilisé pour administrer les équipements ;
- une interface du plan de données lorsqu’un profil de gestion lui est associé.
Les portails GlobalProtect, les passerelles VPN, le VPN sans client et le portail captif ne sont pas concernés selon les précisions de Palo Alto Networks.
La distinction est importante : une interface d’administration exposée sur Internet présente un risque supérieur à une interface accessible uniquement depuis un réseau interne protégé. Réduire cette exposition constitue donc la première mesure à appliquer pendant la période précédant l’installation du correctif.
Quels services cloud et produits ne sont pas affectés ?
L’évaluation de Palo Alto Networks a également porté sur les services cloud et les autres composants de son portefeuille.
Deux services précédemment identifiés comme concernés ont reçu des correctifs :
- Cortex XCORE SaaS, corrigé le 21 octobre 2026 ;
- WildFire Cloud, corrigé le 22 octobre 2026.
L’avis officiel classe notamment Cloud NGFW, Cortex XDR, Cortex XSIAM, Prisma Cloud, Prisma Access et l’application GlobalProtect parmi les produits non affectés. Le statut de certains autres composants a été précisé dans les mises à jour de l’avis des 23 et 24 octobre.
Il reste indispensable de consulter la liste officielle avant de conclure qu’un déploiement donné est protégé. Le statut d’un service cloud corrigé ne signifie pas que les équipements PAN-OS administrés par l’organisation sont eux aussi corrigés.
Des protections temporaires disponibles avant les correctifs
En attendant les versions correctives, Palo Alto Networks recommande de restreindre l’accès à l’interface de gestion aux adresses IP internes de confiance, ou de passer par un serveur de rebond (jump box) dédié. Cette mesure réduit les possibilités d’atteindre le service vulnérable depuis Internet.
L’entreprise indique également que des protections de prévention des menaces sont disponibles via plusieurs signatures, dont la signature Threat ID 543004, ainsi que des signatures supplémentaires distribuées avec les versions de contenu Applications and Threats 9162, 9163, 9164 et ultérieures.
Cependant, ces protections nécessitent une configuration spécifique. Selon l’avis officiel, les administrateurs doivent notamment :
- Acheminer le trafic destiné à l’interface de gestion via un port du plan de données, avec un profil de gestion configuré.
- Remplacer le certificat utilisé pour l’inspection du trafic entrant vers les services de gestion.
- Activer le déchiffrement du trafic HTTPS entrant vers l’interface de gestion afin de permettre son inspection.
- Activer la prévention des menaces sur le trafic entrant vers ces services.
Ces réglages doivent être réalisés conformément à la documentation du fournisseur et aux contraintes de l’architecture réseau. Une signature de détection seule ne garantit pas une protection si le trafic concerné ne traverse pas le chemin d’inspection requis.
Les détails et les conditions d’activation sont disponibles dans l’avis de sécurité Palo Alto Networks.
Mesures recommandées aux administrateurs réseau
Les organisations qui utilisent des pare-feu Palo Alto Networks devraient engager sans attendre une vérification de leur exposition.
1. Inventorier les équipements concernés
Recensez les pare-feu PA-Series et VM-Series, les déploiements Panorama et les versions exactes de PAN-OS. Vérifiez chaque équipement à partir de l’avis officiel plutôt que de vous fier uniquement au numéro de branche principal.
2. Restreindre l’accès à l’administration
Supprimez l’exposition directe des interfaces de gestion sur Internet lorsque cela est possible. Autorisez uniquement les réseaux internes nécessaires ou un serveur de rebond contrôlé. Vérifiez également les interfaces du plan de données auxquelles un profil de gestion a été associé.
3. Activer les protections compatibles
Contrôlez les abonnements et les versions de contenu disponibles, puis appliquez les signatures et paramètres d’inspection recommandés par Palo Alto Networks. Vérifiez que le trafic d’administration est effectivement acheminé à travers le mécanisme de prévention configuré.
4. Préparer l’installation des versions corrigées
Surveillez l’avis de sécurité du fournisseur et planifiez la mise à jour correspondant précisément à la version installée. Les dates annoncées étant prévisionnelles, ne considérez pas un correctif comme disponible avant de l’avoir vérifié dans les canaux officiels.
5. Surveiller les signes de compromission
Même si Palo Alto Networks déclare ne pas avoir connaissance d’une exploitation malveillante de ces failles contre ses produits, il est prudent de surveiller les journaux d’administration, les connexions inhabituelles, les redémarrages inexpliqués et les interruptions de service. Toute anomalie doit être analysée dans son contexte avant d’être attribuée à PHP2Shell.
Les équipes de sécurité peuvent également consulter le rapport de Unit 42 sur PHP2Shell pour suivre les observations de recherche et les recommandations de protection.
PHP2Shell : une menace plus large que les seuls pare-feu Palo Alto
Ces vulnérabilités ne sont pas limitées à PAN-OS : elles touchent le moteur PHP, utilisé dans de nombreuses applications et infrastructures web. L’existence de preuves de concept augmente l’importance d’une réaction rapide pour les organisations exploitant des environnements PHP vulnérables.
L’équipe Unit 42 a indiqué avoir observé des preuves de concept et signalé une exposition potentielle très importante à l’échelle d’Internet. Cela ne signifie toutefois pas que tous les systèmes recensés sont compromis, ni que chaque équipement Palo Alto Networks a été exploité.
Les administrateurs doivent donc distinguer trois situations : les systèmes vulnérables, les systèmes exposés à un chemin d’attaque et les systèmes pour lesquels une compromission est effectivement établie. Cette distinction permet de prioriser les corrections sans tirer de conclusions non étayées.
Pour les serveurs PHP indépendants, il faut également vérifier les mises à jour du projet PHP et celles des fournisseurs qui distribuent des versions intégrées. Le Centre canadien pour la cybersécurité recommande de mettre à jour immédiatement les installations concernées et d’isoler les systèmes exposés lorsque la correction ne peut pas être appliquée rapidement.
Conclusion
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom PHP2Shell, représentent un risque important pour les versions concernées de PAN-OS, en particulier lorsque les interfaces d’administration sont accessibles depuis Internet. Palo Alto Networks a publié des recommandations de réduction du risque et annoncé des dates prévisionnelles pour plusieurs correctifs.
Au 24 octobre 2026, l’entreprise ne signalait aucune exploitation malveillante connue de ces failles contre ses produits. Cette déclaration ne dispense cependant pas les organisations d’agir : elles doivent limiter immédiatement l’accès à la gestion, activer les protections compatibles, vérifier leurs équipements et installer la version corrective adaptée dès qu’elle est officiellement disponible.
La priorité est de réduire la surface d’attaque maintenant, puis d’appliquer le correctif correspondant à chaque version de PAN-OS sans attendre.
SOURCE : Cyber Security News
