A Palo Alto Networks confirmou que duas falhas do PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, afetam o PAN-OS. O aviso foi publicado em 21 de outubro e atualizado em 25 de outubro, e limita a exposição à interface web de gerenciamento e à API XML.
Entram na lista o PAN-OS 10.2, 11.1, 11.2, 12.1 e 12.2 em firewalls PA-Series e VM-Series, além do Panorama em versão virtual e nos appliances M-Series. A empresa diz que nenhuma configuração específica é necessária para o produto estar vulnerável, e que interfaces de dados só são alcançadas quando têm um perfil de gerenciamento associado.
As duas estão no tratamento de erros graves do PHP. Uma deixa memória da requisição sem inicializar depois de um erro de falta de memória, e a outra mantém referências globais apontando para memória já liberada. A Palo Alto avaliou o impacto nos próprios produtos em 8.7 na escala CVSS 4.0, contra 9.2 atribuída às falhas do PHP.
O portal e o gateway do GlobalProtect, o Clientless VPN, o Cloud NGFW, o Cortex XDR, o Prisma Cloud e o Prisma Access não são afetados. O Cortex XCORE em SaaS e o WildFire Cloud estavam na lista e receberam correção em 21 e 22 de outubro.
Para o PAN-OS, nenhuma versão corrigida constava como liberada na atualização de 25 de outubro. O aviso lista as correções por ramo com datas estimadas entre 27 e 30 de outubro, registra que a estimativa de três versões foi removida, e diz que as datas são estimativas.
Até lá, a orientação é restringir o acesso de gerenciamento a endereços internos confiáveis ou a um host dedicado, medida que a empresa calcula reduzir a nota de 8.7 para 7.1. Há também assinaturas de prevenção de ameaças a partir da versão de conteúdo 9162. O risco maior está nos equipamentos com a interface de gerenciamento exposta à internet.
A Palo Alto afirmou não ter conhecimento de exploração maliciosa contra os próprios produtos, e a Unit 42 relatou ter visto provas de conceito para o conjunto mais amplo de falhas do PHP, chamado de PHP2Shell. O aviso diz ainda que a revisão dos demais produtos continua.
