PAN-OS : deux failles RCE activement exploitées (CVE-2026-109618/109619)

Le CERT-FR a publié l'avis CERTFR-2026-AVI-1402 le 28 octobre 2026 pour deux vulnérabilités dans Palo Alto Networks PAN-OS. Les deux, CVE-2026-109618 et CVE-2026-109619, permettent une exécution de code arbitraire à distance, et Palo Alto indique qu'elles sont activement exploitées. Si vous opérez un pare-feu PAN-OS, le correctif passe avant le reste.

Ce qui est affecté

L'avis couvre un large éventail de branches PAN-OS. Versions corrigées par branche, d'après le CERT-FR :

• 10.2.13-h27, 10.2.16-h12, 10.2.18-h13
• 11.1.4-h38, 11.1.6-h40, 11.1.10-h36, 11.1.13-h16, 11.1.16-h4
• 11.2.7-h23, 11.2.10-h16, 11.2.13-h4, 11.2.16-h1
• 12.1.7-h11
• 12.2.4-h1

Les versions antérieures à celles listées ci-dessus sont vulnérables. Le CERT-FR note que les correctifs ne sont pas encore disponibles pour certaines sous-branches (notamment 12.1.4-h13, 12.1.10-h3, 11.2.4-h23, 11.1.7-h12, 10.2.7-h39, 10.2.10-h42) — vérifiez votre version exacte dans le bulletin de l'éditeur.

État de l'exploitation

L'exploitation active est affirmée par Palo Alto Networks lui-même dans son bulletin de sécurité du 27 octobre, source primaire de cet avis. Ces deux CVE sont au cœur de la campagne suivie sous le nom PHP2Shell, qui dépose des webshells PHP sur les équipements compromis. À retenir : la chaîne d'attaque observée ailleurs associe ces failles PAN-OS à une élévation de privilèges noyau Linux pour obtenir les droits root sur l'appareil.

Que faire

1. Identifiez votre version : show system info | match sw-version.
2. Appliquez le correctif de votre branche sans attendre — ces failles sont exploitées en RCE non authentifiée côté gestion.
3. Si aucun correctif n'est publié pour votre sous-branche, basculez vers une sous-branche corrigée de la même famille plutôt que d'attendre.
4. Restreignez l'accès à l'interface de gestion : elle ne doit pas être exposée sur Internet. C'est la surface d'entrée de la campagne.
5. Recherchez des webshells PHP et toute modification suspecte sur les hôtes PAN-OS joignables avant le correctif ; en cas de doute, traitez l'équipement comme compromis.

Contexte

C'est la énième fois cette année que le plan de gestion d'un équipement de périmètre sert de porte d'entrée : après les zero-days NetScaler et les RCE PAN-OS déjà couverts, le schéma ne change pas — une interface d'administration joignable finit exploitée avant le correctif. Les équipements qui filtrent le trafic des autres sont eux-mêmes la cible la plus rentable. Corrigez la gestion, pas seulement le flux de données.