PAN-OS 管理面暴露与漏洞链攻击的防御启示

一起以防火墙“管理面”为入口的攻击活动在 2026 年 10 月下旬被公开披露。Dream 研究团队称，其在使用自有威胁狩猎产品时发现了一套完整的攻击工装，包括 PHP2Shell 漏洞链的自定义利用、内核提权、目标清单、利用日志和约 40 个后渗透脚本，并称攻击者已攻陷 25 台 PAN-OS 防火墙与管理服务器，涉及美国、日本、台湾和韩国，其中两台与一个美国政府相关环境有关。Palo Alto Networks 的 Unit 42 据称独立验证了攻击者的工具与结果，并正在受影响分支发布修复版本。

需要先说明：以下内容主要来自单一研究团队的公开披露，其中的攻击数量、归属判断和“仍然存活”的访问通道等结论，均为来源方表述，本文未做独立验证。对运维人员的价值不在于复述攻击细节，而在于理解“管理接口暴露 + 版本指纹 + 内核提权 + 身份设施横向移动”这条链路的现实风险，并据此检查自己的资产。

背景：管理面为何成为高价值入口

来源指出，被利用的是 PAN-OS 管理 Web 服务器，该服务器同时承载 GlobalProtect 门户。这意味着一个本应只对运维人员开放的管理入口，可能因配置原因暴露在公网，并且与 VPN 认证等业务功能共用同一攻击面。

更关键的是，防火墙设备本身处在网络边界，通常与内部身份系统存在信任关系。设备配置文件往往包含网络拓扑、VPN 网关、LDAP 服务账号等敏感信息。一旦攻击者获得设备 root 权限，防火墙就从“防护设备”变成“进入内网的跳板”。来源披露的攻击路径正是如此：先拿下边界防火墙，再通过隧道访问内部管理服务器，最后利用管理服务器已有的 LDAP 连接对 Active Directory 发起攻击。

核心变化：漏洞链与自动化的组合

来源描述的攻击链由两部分组成。第一部分是 PHP2Shell（编号 CVE-2026-109618 / CVE-2026-109619），针对 PHP 的 session.upload_progress 机制，通过多阶段内存布局操纵，最终伪造 HashTable 析构回调，以 nobody 用户执行命令。第二部分是名为 Fragnesia 的 Linux 内核提权漏洞（CVE-2026-46300），位于 XFRM ESP-in-TCP 子系统，通过页缓存写入篡改 /etc/pam.d/su，使 su root 无需密码。

来源称，两者可在单个 HTTP 请求中完成，从匿名 HTTPS 连接到获得持久 root webshell 的完整过程不到 15 分钟。利用需要针对不同 PAN-OS 版本精确校准内存偏移，来源称在攻击工装中发现了 11 个 JSON 版本配置文件，覆盖 PAN-OS 11.1、12.1、12.2 等分支，其中部分为“已校准”、部分为“临时推算”。

从防守视角看，这里有两个值得注意的变化。其一，攻击者不再依赖单一公开漏洞利用，而是自行开发并针对特定产品版本做工程化适配，这意味着“没有公开 EXP 就安全”的假设不再成立。其二，攻击流程高度自动化：来源称攻击者用 FOFA 发现约 19000 个暴露目标，用 200 并发线程做版本指纹识别，筛出约 5000 台在线设备，再按地区和版本过滤到 240 台，最终以每批 5 台、单目标 30 分钟超时的方式批量利用。这种“发现—指纹—筛选—批量利用”的漏斗，对任何存在大规模暴露面的产品都适用。

影响分析：从设备失陷到身份基础设施风险

来源披露的后渗透行为比漏洞本身更值得警惕。攻击者在两台美国政府相关设备上进一步行动：建立 8 端口反向 SSH 隧道并包装成 systemd 服务和 rc.local 启动钩子，以实现重启后仍能重连；随后通过隧道攻陷第三台内部防火墙管理服务器，该服务器集中管理组织所有防火墙。由于管理服务器本身具备到 Active Directory 的 LDAP 连接，攻击者将其作为域攻击的发射平台，包括解密配置中的 LDAP 服务账号密码、枚举用户与组、对所有账户进行密码喷洒、尝试创建后门账户、分析 ACL 提权路径，以及探测 Keycloak SSO 和 SAML 签名密钥。

来源特别提到该域 lockoutThreshold=0，即没有账户锁定策略，使密码喷洒可以无限尝试。这一细节对 defenders 的启示很直接：身份系统的策略配置会放大或限制外围失陷的后果。

需要明确的是，来源承认无法确认密码喷洒、后门账户创建和 SAML 密钥提取是否成功，相关结果留在管理服务器本地文件系统，未被回收。因此“影响范围可能远超边界设备”是来源的推断，而非已证实结论。同样，来源未说明修复版本的具体版本号，也未给出完整的入侵指标清单，读者应以 Palo Alto Networks 官方公告为准。

在归因方面，来源表示不将活动归因于具名威胁行为体，但列出多项指向中国背景的指标，包括目标地区选择、使用 FOFA、工具中出现 iox 隧道工具、配置 DeepSeek 与 Kimi 的 API 密钥、UTC+8 时间戳以及中文提示词。这些属于来源方的判断，本文不将其作为确定结论。

行动建议：面向运维与安全团队

第一，立即盘点管理面暴露情况。检查 PAN-OS 管理 Web 界面和 GlobalProtect 门户是否可从公网访问，优先将管理接口限制在专用管理网段或跳板机之后。来源描述的攻击起点就是暴露的管理接口，收敛暴露面是成本最低、收益最高的措施。

第二，核对版本与补丁状态。来源称 Palo Alto Networks 正在受影响分支发布修复版本，但未说明具体版本号。请以厂商官方安全公告为准，确认自身设备是否在受影响范围内，并按官方指引升级。不要依据本文推断版本结论。

第三，检查设备是否存在异常持久化。来源提到攻击者使用 /usr/local/lib/.panops/ 下的脚本、systemd 服务和 rc.local 钩子维持隧道。运维人员可结合厂商提供的入侵指标，检查计划任务、启动项、异常监听端口和反向连接。

第四，加固身份基础设施。即使边界设备失陷，良好的身份策略仍可限制损失：为服务账号设置最小权限和定期轮换，启用账户锁定或速率限制以对抗密码喷洒，审查 MachineAccountQuota，检查 AD ACL 中的异常授权，并核验 Keycloak 等 IdP 的证书校验配置。来源提到配置中存在 validate-idp-certificate: no 这类弱设置，值得逐项排查。

第五，建立暴露资产清单和版本指纹监控。攻击者的第一步是发现和指纹识别，防守方应做到同样清楚：哪些设备暴露、运行什么版本、由谁负责。对无法及时修补的设备，应有补偿性控制措施。

资料来源

Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers - Dream Research

本文由自动化系统筛选公开技术信息，并经 AI 辅助整理。