概要
Dream 研究チームが Palo Alto Networks PAN-OSファイアウォール の深刻な脆弱性を発見。攻撃者は PHP2Shell と カーネル権限昇格 を組み合わせ、25台のサーバーを侵害。AIツールが攻撃インフラに利用された痕跡も確認。米国政府関連環境への 内部侵入 と Active Directory攻撃 が実施された。Palo Alto Networksは 修正版PAN-OS を公開中。
Custom PHP2Shell Exploit Chained with Kernel LPE to Root Versions of Palo Alto Networks PAN-OS Firewalls in the Wild
- Dream研究者 が2026年10月25日、 中国AI支援型キャンペーン の痕跡を発見
- 米国政府関連環境 を含む25台のサーバーが侵害対象
- 攻撃者は PHP2Shell （CVE-2026-109618/109619）と Fragnesiaカーネル権限昇格 （CVE-2026-46300）を連鎖利用
- 標的は PAN-OS管理Webサーバー （GlobalProtectポータル含む）
- Palo Alto Networks Unit 42 が攻撃ツールと結果を独自検証、修正版PAN-OSをリリース
- 侵害後、 Active Directory への攻撃を実行
- 資格情報抽出、ディレクトリエニュメレーションを実施
- 露出した管理インターフェースが 組織のアイデンティティ基盤 への侵入口となった事例
- 攻撃の発見は Dreamの自律型サイバーリサーチ製品Hero でのプロアクティブな脅威ハンティングによる
攻撃の詳細
- 攻撃チェーンは PHP2Shell によるリモートコード実行と Fragnesia によるカーネル権限昇格で構成
- PHP2Shell はPAN-OS特有のカスタム実装、公開済みエクスプロイトとは異なる
- 攻撃手法 ：PHPのsession.upload_progress機構を悪用し、4段階でメモリ破壊・情報漏洩・コード実行を達成
- メモリ枯渇攻撃、情報漏洩、参照偽造、コード実行の順
- Fragnesia ：LinuxカーネルのXFRM ESP-in-TCP脆弱性を利用し、/etc/pam.d/suを上書き
- pam_permit.soで認証バイパス、su rootをパスワード無しで成功
- 一つのHTTPリクエスト で両エクスプロイトを連鎖、15分以内に永続的rootウェブシェル設置
AIの利用状況
- 攻撃インフラに AIツール 利用の痕跡
- Claude Code、aiscan（DeepSeek/Kimi統合）、FOFA APIキー
- 約40本のスクリプトのコード構造・コメントからAI支援開発が示唆
- 完全自律型国家攻撃ではないと推定
バージョンプロファイリングと標的選定
- 攻撃は PAN-OSバージョンごとの精密なプロファイル が必要
- 11種のJSONプロファイル（各バージョンのlibphp.soバイナリからオフセット抽出）
- "calibrated"（実機検証済）と"provisional"（バイナリ解析のみ）の区別
- 世界1.9万台 のPAN-OSファイアウォールをFOFAで特定
- 5,000台が応答、240台が標的バージョン・地理条件（米国、日本、台湾、韓国）で絞り込み
- 240台へ自動エクスプロイト、24台でroot取得
米国政府関連環境への侵入と内部展開
- 24台のうち2台が 米国政府関連組織 に所属
- 1台目はroot取得後にクラッシュ、2台目で持続的トンネルを構築
- 8ポートのリバースSSHトンネル を設置
- ドメインコントローラー、管理サーバー、VPN、SOCKS5プロキシへの内部アクセスを確保
- systemdサービスとrc.localで永続化
- トンネル経由で 内部ファイアウォール管理サーバー も侵害
- 組織全体のファイアウォール管理権限を取得
まとめ
- PAN-OS管理インターフェースの公開 が大規模被害の要因
- AI支援開発 による攻撃ツールの高効率化
- 標的型・段階的侵害 による、政府組織の内部ネットワーク制御権の奪取
- Palo Alto Networks は修正版PAN-OSの適用を強く推奨
もしかしたら俺が間違ってたかも。