Palo Alto Networks cảnh báo lỗ hổng RCE nghiêm trọng trong PAN-OS

• Lỗ hổng nghiêm trọng: Hai lỗ hổng RCE (Remote Code Execution) được định danh là CVE-2026-109618 và CVE-2026-109619 ảnh hưởng đến các thiết bị chạy PAN-OS.
• Cơ chế lỗi: Các lỗ hổng xuất phát từ cách xử lý lỗi bộ nhớ không an toàn trong PHP, cụ thể liên quan đến hàm longjmp() và quản lý bộ nhớ sau khi giải phóng (Use-After-Free).
• Phạm vi ảnh hưởng: Các dòng thiết bị PA-Series, VM-Series và Panorama đều nằm trong diện bị ảnh hưởng, đặc biệt là giao diện quản trị web.
• Khuyến nghị: Quản trị viên cần hạn chế quyền truy cập vào giao diện quản trị, sử dụng jump box và theo dõi lịch trình phát hành bản vá từ nhà sản xuất.

Palo Alto Networks vừa chính thức xác nhận sự tồn tại của hai lỗ hổng bảo mật nghiêm trọng liên quan đến việc thực thi mã từ xa (RCE) trong PHP, ảnh hưởng trực tiếp đến hệ điều hành PAN-OS và một số dịch vụ đám mây của hãng. Các lỗ hổng này, được định danh là CVE-2026-109618 và CVE-2026-109619, đang đặt ra thách thức lớn cho các đội ngũ vận hành hạ tầng mạng khi các bản vá chính thức vẫn đang trong lộ trình phát hành.

Phân tích kỹ thuật về lỗ hổng RCE trong PHP

Cả hai lỗ hổng này đều bắt nguồn từ cách thức PHP xử lý các lỗi nghiêm trọng thông qua hàm longjmp(). Đây là một cơ chế chuyển hướng thực thi chương trình về một điểm đã lưu trước đó. Tuy nhiên, quá trình này vô tình để lại các vùng bộ nhớ không an toàn, tạo điều kiện cho kẻ tấn công khai thác để thực thi mã từ xa.

Chi tiết về CVE-2026-109618

Lỗ hổng CVE-2026-109618 xảy ra khi hệ thống gặp lỗi tràn bộ nhớ (out-of-memory) trong quá trình xử lý yêu cầu. Lỗi này khiến bộ nhớ của yêu cầu không được khởi tạo đúng cách. Các thao tác dọn dẹp sau đó có thể vô tình sử dụng vùng bộ nhớ chưa hoàn thiện này. Kẻ tấn công có thể chủ động gây ra tình trạng cạn kiệt bộ nhớ để kích hoạt trạng thái không an toàn này và đạt được quyền thực thi mã.

Chi tiết về CVE-2026-109619

Lỗ hổng CVE-2026-109619 liên quan đến các tham chiếu bộ nhớ toàn cục (global memory references) vẫn tiếp tục trỏ đến vùng nhớ đã được giải phóng. Các yêu cầu tiếp theo có thể đọc hoặc thao tác trên các tham chiếu cũ (stale references), từ đó mở ra con đường để kẻ tấn công chèn và thực thi mã độc tùy ý.

Phạm vi ảnh hưởng và các phiên bản bị tác động

Theo thông tin từ nhà sản xuất, các phiên bản PAN-OS bao gồm 10.2, 11.1, 11.2, 12.1, và 12.2 trên các dòng thiết bị PA-Series và VM-Series đều bị ảnh hưởng. Ngoài ra, các triển khai Panorama (bao gồm cả virtual và M-Series) cũng nằm trong danh sách cần được kiểm tra. Đáng chú ý, không cần cấu hình đặc biệt nào để thiết bị trở nên dễ bị tổn thương; lỗ hổng tồn tại mặc định trên các giao diện quản trị web (HTTPS console và XML API).

⚠️ Cảnh báo quan trọng: Mặc dù các dịch vụ như Cortex XCORE SaaS và WildFire Cloud đã được vá lỗi, nhưng các thiết bị on-premise vẫn đang ở trạng thái rủi ro cao cho đến khi các bản hotfix được áp dụng.

Hướng dẫn phòng thủ và giảm thiểu rủi ro

Trong thời gian chờ đợi bản vá chính thức, các quản trị viên cần thực hiện ngay các biện pháp hardening hệ thống. Việc hạn chế quyền truy cập vào giao diện quản trị là ưu tiên hàng đầu. Chỉ nên cho phép truy cập từ các địa chỉ IP nội bộ tin cậy hoặc thông qua một jump box được bảo mật nghiêm ngặt.

Đối với việc phát hiện tấn công, Palo Alto đã cung cấp các chữ ký (signature) bảo mật để hỗ trợ phát hiện các nỗ lực khai thác. Quản trị viên nên cập nhật lên các phiên bản nội dung (content versions) từ 9162, 9163, và 9164 trở lên. Việc cấu hình định tuyến lưu lượng quản trị qua cổng dataplane và kích hoạt kiểm tra Threat Prevention là các bước bắt buộc để tăng cường khả năng phòng thủ.

Để biết thêm chi tiết về lộ trình cập nhật, quản trị viên có thể tham khảo tài liệu hướng dẫn chính thức từ Palo Alto Networks để theo dõi các bản hotfix dự kiến cho từng phiên bản PAN-OS cụ thể.