Palo Alto Networks Prisma Access és SD-WAN ION termékeket érintő PHP memóriahiány miatti távoli kódfuttatási hiba (CVE-2026-109618)

Mi történt

A PHP longjmp() hívással lép ki az aktuális környezetből, ha memóriahiány miatti hiba következik be. Egyes környezetek ezt nem megfelelően kezelik, és a kéréshez tartozó memóriát inicializálás nélkül hagyhatják egy későbbi memóriafoglalás előtt. A következő kérés lezárásakor a PHP ezért inicializálatlan memóriát olvashat, vagy annak alapján ágazhat el. Többféle OOM-stratégia is képes ezt következetesen kiváltani, ami távoli kódfuttatáshoz vezethet.

A CVSS 4.0 vektor 9,2-es pontszámot ad a hibára: a sérülékenység hálózaton keresztül elérhető, nem igényel jogosultságot és felhasználói beavatkozást, viszont nagy támadási komplexitású, és csak bizonyos feltételek fennállása esetén használható ki.

A CISA 2026. október 26-án vette fel a CVE-2026-109618 azonosítót a KEV-katalógusba; a határidő 2026. október 29., a KEV pedig kihasználtként tartja nyilván.

A Palo Alto Networks közölte, hogy nem tud arról, hogy ezt a hibát rosszindulatúan kihasználták volna a termékei ellen.

A Palo Alto Networks biztonsági közleménye egy kapcsolódó, a PHP elavult globális állapotából fakadó hibát is tárgyal (CVE-2026-109619); ez az oldal a CVE-2026-109618 azonosítóra összpontosít.

Kit érint

A háttérben álló PHP-hiba az alábbi PHP-ágakat érinti: 8.2.* a 8.2.35 előtt, 8.3.* a 8.3.36 előtt, 8.4.* a 8.4.27 előtt és 8.5.* a 8.5.12 előtt.

A Palo Alto Networks termékcsaládjában a gyártó javított kiadásokat tett közzé a Prisma Access, a Prisma Access Agent és a Prisma SD-WAN ION termékekhez. Ha a telepítés ezen termékágak valamelyikén korábbi buildet futtat, azt érintettként kell kezelni, és az alábbi javított verziókat kell használni.

Mit kell most tenni

1. Telepítse a gyártó javított kiadásait. Prisma Access: 11.2.10-h16 vagy újabb. Prisma Access Agent: 11.1.4-h38, 11.1.6-h40, 11.1.10-h36, 11.1.13-h16 vagy 11.1.16-h4. Prisma SD-WAN ION: 10.2.13-h27, 10.2.16-h12 vagy 10.2.18-h13. Általános PHP-telepítések esetén frissítsen a PHP 8.2.35, 8.3.36, 8.4.27 vagy 8.5.12 verzióra.

1. Ha a javítást szakaszosan kell bevezetni, alkalmazza a gyártó fenyegetés elleni védelmét. Frissítse az Applications and Threats-tartalmat 9162, 9163, 9164 vagy újabb verzióra, és kapcsolja be a Palo Alto Networks biztonsági közleményében felsorolt Threat Prevention-aláírásokat. A Frontier Virtual Patching szolgáltatást PAN-OS 12.2.4 vagy újabb verzióval használó ügyfelek a 543004-es Threat ID-n keresztül már korábban védelmet kaptak.

1. Tartsa be a CISA KEV-ben szereplő, 2026. október 29-i határidőt. A KEV-bejegyzés előírja a gyártói utasítások szerinti kockázatcsökkentő intézkedések alkalmazását, valamint a CISA BOD 26-04 iránymutatásának követését a priorizálásra és a forenzikus triázsra vonatkozóan.

Hogyan észlelhető

A Palo Alto Networks környezetek észlelése a gyártó Threat Prevention-aláírásain keresztül érhető el; ellenőrizze, hogy az Applications and Threats-tartalom verziója naprakész, és hogy az érintett fenyegetés-azonosítók aktívak. A gyártói biztonsági közlemény nem sorol fel hosztalapú kompromittálódásra utaló jeleket (IOC), és a KEV-bejegyzés sem ad meg konkrét IOC-értékeket.

A javításon túl

Mivel a CISA KEV kihasználtként tartja nyilván ezt a hibát, a javított buildek bevezetéséig az első védelmi vonalat az észlelés és a reagálás jelenti. Menedzselt kiberbiztonsági felügyelet (MDR) és Incidenskezelési készenléti szolgáltatásunk biztosítják ezt a képességet. Mivel a hiba hitelesítés nélkül, hálózaton keresztül érhető el, a Virtuális CISO szolgáltatás (vCISO) segíthet áttekinteni az érintett Prisma Access és SD-WAN ION elemek külső kitettségét, még mielőtt a javítás befejeződik.