派拓网络确认 PHP2Shell 漏洞遭实际利用，CVSS 评分 9.2

派拓网络（Palo Alto Networks）于 2026 年 10 月 28 日至 29 日更新安全公告，确认两个 PHP 软件漏洞 CVE-2026-109618 和 CVE-2026-109619 已遭实际攻击。这两个漏洞统称为 PHP2Shell，可透过内存处理错误实现未认证远程代码执行。据 dailysecu.com 报道，该公司将产品风险评分定为 CVSS 4.0 标准下的 9.2 分，并将响应紧迫性设为最高级别。

漏洞位于用于防火墙安全策略设置和系统管理的 Web 管理界面。受影响产品包括 PAN-OS 10.2、11.1、11.2、12.1 和 12.2 系列的部分版本，PA 系列和 VM 系列防火墙，以及 Panorama 集中管理解决方案。

派拓网络表示，GlobalProtect 门户和网关以及无客户端 VPN 不受影响。该公司正在提供修复版本，包括 PAN-OS 12.2.4-h1、12.1.7-h11、11.2.10-h16、11.1.4-h38 和 10.2.18-h13，同时发布威胁防御签名以检测相关攻击。

该公司敦促客户尽快安装补丁，并限制管理界面的外部访问。