Mi változott 2026. október 30-án?

Mi Az első változatban Most
Gyártó nem nevezték meg Palo Alto Networks PAN-OS (Dream)
Megerősítés csak a Dream közlése a Unit 42 ellenőrizte a támadó eszközeit és az eredményeket (Unit 42)
Javítás a cikk nem írta javított PAN-OS kiadások a 10.2 és a 12.2 közötti ágakra (Palo Alto Networks)
Érintett felület „kezelőfelület” a webes kezelőfelület és az XML API, a GlobalProtect a gyártó szerint nem érintett (Palo Alto Networks)

Mi került a listára?

A CISA 2026. október 28-án két hibát vett fel a kihasznált sérülékenységek katalógusába (KEV). Az egyik a CVE-2026-46300 azonosítójú Linux-kernelhiba, a neve Fragnesia.

A Fragnesia helyi jogosultságemelést enged. Aki már futtathat kódot a gépen, rendszergazdai, vagyis root-jogot szerezhet (Ubuntu). A CISA katalógusa szerint a hiba láncolható a CVE-2026-109618 és a CVE-2026-109619 hibával. Ez a két PHP-hiba együtt a PHP2Shell. A CISA ezeket már 2026. október 26-án felvette a katalógusba (CISA KEV). A lánc végén a támadó PHP-webshellt telepít, és root-ként futtat parancsot.

Az amerikai szövetségi polgári szerveknek 2026. október 31-ig kell javítaniuk (CISA KEV). A határidő a BOD 26-04 irányelvből jön, magyar cégre nem kötelező.

A hiba nem új. A nyilvánosságra hozatal napja 2026. május 13. volt (Ubuntu). Az NVD 7,8 pontos, magas súlyosságú hibának sorolja be. Az Ubuntu táblázata szerint a 20.04 és a 26.04 LTS közötti kiadások érintettek. A 20.04-nél a hiba csak az 5.15-ös kernelt érinti, az 5.4-est nem. A hiba az IPsec VPN-hez használt ESP kernelmodulokban van.

Az Ubuntu hibaadatlapja a jogosultságemelést „triviálisnak” nevezi, és konténerből való kitörést is lehetségesnek tart. A Red Hat a Fragnesiát a Dirty Frag nevű hiba változatának írja le. Új a láncolt, élő támadás.

Hogyan jutottak be a tűzfalakra?

A támadást a Dream nevű biztonsági cég kutatói írták le 2026. október 26-án (Dream). A nyomokra október 25-én bukkantak. A bejegyzést 2026. október 29-én frissítették.

A célpont a Palo Alto Networks PAN-OS tűzfal-operációs rendszerének webes kezelőfelülete volt (Dream). A gyártó elemzőcsapata, a Unit 42 2026. október 29-én megerősítette az eredményeket. Saját közlése szerint maga is ellenőrizte a támadó eszközeit (Unit 42). A Dream szerint a támadó a PAN-OS 12.1-es és 12.2-es ágát vette célba, ezeken PHP 8.0.30 fut. A 11.1-es ágon PHP 7.4.33 fut, ott a Dream szerint a teljes lánc nem volt behangolva.

A Dream szerint ugyanez a webszerver szolgálja ki a GlobalProtect VPN-portált is. A Palo Alto Networks közleménye szerint a GlobalProtect portál és átjáró nem érintett. A gyártó szerint a hiba a webes kezelőfelületet és az XML API-t érinti. Adatinterfészen csak akkor, ha arra kezelési profil van beállítva. A Dream azt nem állítja, hogy a GlobalProtect érintett.

A támadó a Dream leírása szerint így szűkítette a kört:

  • nagyjából 19 000 internetről elérhető tűzfalat talált;
  • ebből körülbelül 5000 válaszolt verzióadattal;
  • az amerikai, japán, tajvani és dél-koreai eszközökre, majd a 12.1-es és 12.2-es ágra szűrve 240 célpont maradt;
  • végül 24 tűzfalon szerzett root-jogot, ezek közül 22-n a Dream szerint csak a webshellt hagyta hátra.

A Dream leírása szerint a támadás négy lépésből áll. A támadó két lépésben tömeges kérésekkel terheli a kezelőfelület memóriáját, egy kéréssel pedig memóriacímet szerez meg. A két támadókód csak a negyedik lépésben fut le, egyetlen HTTP-kérésben. Hitelesítés nélküli kapcsolattól a tartós root-webshellig a lánc 15 percen belül végez. A Fragnesia a Dream szerint az /etc/pam.d/su fájlt írja át, így a su root jelszó nélkül is működik. A tűzfalakon egy 103 bájtos PHP-webshell került egy nyilvánosan elérhető könyvtárba.

Egy amerikai kormányzati kötődésű szervezetnél a támadó tovább ment. Fordított SSH-alagutat nyitott a belső hálózat felé, és ugyanazzal a lánccal feltörte a belső tűzfalkezelő szervert. Ezzel lett a rootolt szerverek száma 25. Utána az Active Directoryt és a Keycloak egyszeri bejelentkezési szervert vette célba.

A Dream a támadást nem köti megnevezett csoporthoz. A cég szerint több jel kínai kötődésű műveletre utal (Dream, SecurityWeek). A Dream frissítése szerint a Unit 42 a tevékenységet CL-UNK-1280 néven követi, és kínaiul beszélő, UTC+8 időzónában dolgozó támadónak tulajdonítja. Ezt a jelölést a Unit 42 saját oldalán 2026. október 30-ig nem találtuk.

Mi köze ehhez egy magyar cégnek?

Magyar érintettségről nincs adatunk. Az NBSZ Nemzeti Kiberbiztonsági Intézet (NKI) 2026. október 21-én riasztást adott ki a PHP2Shell két hibájáról. A láncolt támadásról az NKI riasztásai és hírei között 2026. október 30-ig nem találtunk közleményt. Az NKI a Fragnesiáról 2026 májusában sérülékenységi adatlapot tett közzé. A NAIH és az SZTFH oldalán sem találtunk erről közleményt 2026. október 30-ig.

A PHP 8.0-s ághoz a PHP-projekt nem ad ki új kiadást. A biztonsági csapat csak minimális forráskódjavítást tett közzé a 7.4-es, a 8.0-s és a 8.1-es ághoz (php.net).

A Loop következtetése: a webes hiba nem áll meg a weboldalnál. Ha a PHP-t futtató eszköz a hálózat szélén áll, a belső hálózat felé nyit utat. Egy tűzfal PHP-ját a felhasználó nem cseréli ki maga, ott a gyártói frissítésre van szükség.

Mit tegyen ezen a héten?

1. Kernelfrissítés, utána újraindítás. Az Ubuntu, a Debian és a Red Hat is kiadta a javított kernelt. A Red Hat közleménye szerint a javítás csak újraindítás után véd. Az Ubuntu automatikus frissítése 24 órán belül telepíti a csomagot, újraindítani ekkor is kell. A futó kernel verzióját az uname -r parancs mutatja meg. Élő, újraindítás nélküli javításról ezekben a közleményekben nem találtunk információt.

2. Ha nem tud azonnal újraindítani. Az Ubuntu átmeneti megoldásként az ESP kernelmodulok tiltását írja le. Az Ubuntu szerint ez megszakítja az IPsec-alapú VPN működését. Ilyen például a StrongSwan. Ha a gép ilyen VPN-t futtat, ez az út nem járható.

3. PHP-frissítés. A saját webszerveren a PHP-t a 8.2.35, 8.3.36, 8.4.27 vagy 8.5.12 kiadásra kell frissíteni (php.net). Tűzfalon és más dobozos eszközön a gyártói javítás kell. A Palo Alto Networks közleménye a PAN-OS 10.2, 11.1, 11.2, 12.1 és 12.2 ágára is felsorol javított kiadást. Ilyen például a 12.2.4-h1 és a 12.1.10-h3. A saját ágához tartozó kiadást a közlemény táblázatából olvassa ki. A Unit 42 szerint a javítás megszakítja a megfigyelt támadási láncot.

4. Kezelőfelület le az internetről. A Dream leírásában az internetről elérhető kezelőfelület volt a belépési pont. A tűzfal, a VPN és más eszközök kezelőfelülete csak a belső hálózatról legyen elérhető. A Palo Alto Networks is azt kéri, hogy a kezelőfelület csak megbízható belső IP-címekről legyen elérhető (Palo Alto Networks). A Unit 42 szerint a telepített eszközök körülbelül 0,02 százalékán volt érintett, internetről elérhető kezelőfelület. Ezeket az ügyfeleket a gyártó egyenként megkereste (Unit 42).

5. Nyomkeresés. A Dream nem közölt IP-címeket vagy fájlkivonatokat, a kárelhárítási útmutatóhoz a Palo Alto Networks oldalaira utal. A leírt viselkedésből ezek ellenőrizhetők:

  • szerepel-e a pam_permit.so az /etc/pam.d/su fájlban;
  • van-e ismeretlen, apró PHP-fájl a nyilvános webkönyvtárban;
  • van-e új systemd-szolgáltatás vagy rc.local-bejegyzés;
  • nyit-e az eszköz ismeretlen kimenő SSH-kapcsolatot.

Három kérdés az IT-partnernek

  1. Melyik eszközünkön fut Linux vagy PHP, beleértve a tűzfalat és a VPN-eszközt?
  2. Fut-e már a javított kernel, és megtörtént-e az újraindítás?
  3. Elérhető-e bármelyik eszköz kezelőfelülete az internetről?

A kernel javítása 2026 májusa óta letölthető. Újraindítás nélkül viszont nem véd.

Gyakori kérdések

Érintett-e a GlobalProtect VPN?

A Palo Alto Networks szerint nem. A hiba a webes kezelőfelületet és az XML API-t érinti. Az adatforgalmi interfész csak akkor érintett, ha arra kezelési profil van beállítva (Palo Alto Networks).

Helyesbítve 2026. október 30-án. A cikk első változata szerint a Dream nem nevezte meg a gyártót és az érintett verziókat. A Dream 2026. október 29-i frissítése már megnevezi őket. Az első változat azt írta, hogy a két támadókód egyetlen HTTP-kérésben fut le. Nem írta meg, hogy ez a négylépéses lánc utolsó lépése. Azt is általánosan írta, hogy a tűzfal PHP 8.0.30-at futtat. A Dream táblázata szerint ez a 12.1-es és a 12.2-es ágra igaz, a 11.1-esen PHP 7.4.33 fut.

Frissítve 2026. október 30-án: bekerült a Palo Alto Networks közleménye a javított PAN-OS kiadásokkal és a Unit 42 megerősítése. A gyártó szerint a GlobalProtect nem érintett.

Források