米パロアルトネットワークスは、ファイアウォールなどで使われるOS「PAN-OS」が、PHPの深刻な脆弱性「CVE-2026-109618」「CVE-2026-109619」（通称PHP2Shell）の影響を受けるとして、修正版を順次公開している。同社は、インターネットに公開されたPAN-OSの管理画面を狙う攻撃を確認したとしている。あわせて、圧縮形式Brotliの処理に関する脆弱性「CVE-2026-111497」（通称HTTP2Shell）についても、別のアドバイザリで修正版を案内している。
事案の詳細
PHPの脆弱性に関するアドバイザリは10月21日に公開され、28日に更新された。影響を受けるのは、PAシリーズとVMシリーズのファイアウォール、Panorama上のPAN-OS 10.2、11.1、11.2、12.1、12.2。管理用のWeb画面（WebUIとXML API）が対象で、特別な設定がなくても影響を受ける。深刻度は「緊急（Critical）」で、CVSS 4.0の評価は9.2。管理画面へのアクセスを踏み台サーバー経由に限定している場合は「中（Medium）」としている。同社は、インターネットに公開された管理画面を狙う攻撃が確認されたとして、対応の緊急度を最も高い「HIGHEST」に引き上げた。
修正版は、12.2.4-h1、12.1.4-h13、12.1.7-h11、12.1.10-h3、11.2.4-h23、11.2.7-h23、11.2.10-h16、11.2.13-h4、11.2.16-h1、11.1系の11.1.4-h38など、10.2系の10.2.7-h39などで、系統ごとに複数のビルドが用意されている。10月28日の更新時点で、12.1.4-h13と10.2.10-h42は10月29日、12.1.10-h3、11.2.4-h23、11.1.7-h12、10.2.7-h39は10月30日に公開予定としていた。GlobalProtectやCloud NGFW、Prisma Accessは影響を受けない。
Brotliの脆弱性に関するアドバイザリは10月26日に公開された。影響を受けるのはPAN-OS 11.2、12.1、12.2のファイアウォールで、Brotliで圧縮された通信の検査とSSL/TLS復号の両方を有効にしている場合に限られる。11.1と10.2、Panorama、管理画面は影響を受けない。深刻度は「緊急」だが、同社は悪用を確認しておらず、緊急度は「中程度（MODERATE）」としている。11.2.4以降ではBrotliの処理は初期設定で無効になっている。
影響と背景
ファイアウォールの管理画面を乗っ取られると、通信の制御設定を書き換えられたり、社内ネットワークへの侵入の足がかりにされたりするおそれがある。PHP2Shellは多くのWebサイトやシステムで使われるPHPそのものの脆弱性で、米CISAは10月26日に悪用が確認された脆弱性の一覧に追加している。今回のアドバイザリは、ネットワーク機器の内部で使われているソフトウェアを通じても影響が及ぶことを示した。
対策・今後の展望
- 管理画面へのアクセス制限：管理画面をインターネットに公開しない。信頼できる社内のIPアドレスや踏み台サーバーからのみ接続できるように制限する。修正版がまだ出ていない系統では最優先で行う。
- 修正版の適用：利用中のバージョンを確認し、アドバイザリに記載された修正版に更新する。公開予定の修正版は、公開状況をアドバイザリで確認する。
- 脅威防御の有効化：Threat Preventionのライセンスがある場合は、アドバイザリに記載されたThreat ID（543004など）を有効にする。コンテンツのバージョン9162以降が必要。
- Brotli検査の確認：11.2.4以降でBrotliの検査を有効にしている場合は、アドバイザリの手順に沿って無効化するか、修正版に更新する。
CSRIからの現場アドバイス
【現場で何が起きているか】ファイアウォールやVPN装置の管理画面が、保守の都合でインターネットから接続できる状態のまま残っている例は珍しくない。機器の更新は保守業者任せになっていて、社内では今のバージョンを把握していないこともある。
【平易な解説】建物の正面玄関は頑丈でも、警備室の裏口がそのまま外の道路に面していて、その鍵に欠陥が見つかったような状況だ。まずは裏口に外から近づけないようにすることが先決になる。
【中小企業が今週中にできること】パロアルトネットワークス製品を使っている場合は、保守業者に管理画面がインターネットに公開されていないか、PAN-OSのバージョンと修正版の適用予定はいつかを確認する。他社のファイアウォールやVPN装置でも、管理画面の公開状況を点検しておく。
参照: Palo Alto Networks：CVE-2026-109618 / CVE-2026-109619／Palo Alto Networks：CVE-2026-111497／Security NEXT