內文
PAN-OS與Panorama的管理介面已有實際利用紀錄。 Palo Alto Networks於10/27更新公告，指出攻擊活動鎖定暴露於網際網路的管理介面。企業應立即限制管理來源，盤點設備版本並安排原廠修補。
這是CVE-2026-109618與CVE-2026-109619的PHP漏洞延伸影響，原廠將此設備情境評為CVSS v4.0 9.2。範圍包含PA-Series、VM-Series與Panorama（虛擬及M-Series）。
- 受影響入口為管理HTTPS web UI與XML API。資料平面介面只有附加management profile時，才會提供本案涉及的管理入口。
- GlobalProtect portal、gateway、Clientless VPN及GlobalProtect App不受本公告影響；Captive Portal亦不受影響。
- 登入畫面不構成未登入漏洞的修補。先限制可信任管理來源或跳板，再完成PAN-OS hotfix及官方升級流程。
- 01
管理入口可達
未修補設備的web UI或XML API可由攻擊來源接觸
- 02
觸發PHP記憶體缺陷
符合漏洞條件的請求可能造成未登入程式碼執行
- 03
設備設定與憑證受影響
設備遭控制後，管理權限、API key或設定可能被取用或修改
- 04
影響網路與管理範圍
可能改動規則、路由或持續存取，須調查內網與集中管理影響
原廠已確認針對暴露管理介面的利用；後續設定、憑證及內網影響依各設備證據調查。
受影響安裝基底、已釋出修補與ETA
下表列出各版本系列的PHP修補目標。現用版本低於對應hotfix者應更新，依原廠支援的升級路徑安排；停止支援版本遷移至受支援的安全版本。
原廠已公告釋出的PHP修補
| 目前安裝基底 | PHP修補目標 | 原廠發布狀態 |
|---|---|---|
| 12.2.0至12.2.4 | 12.2.4-h1 | 原廠10/27公告已釋出 |
| 12.1.5至12.1.7 | 12.1.7-h11 | 原廠10/27公告已釋出 |
| 11.2.8至11.2.10 | 11.2.10-h16 | 原廠10/25公告已釋出 |
| 11.1.0至11.1.4 | 11.1.4-h38 | 原廠10/26公告已釋出 |
| 11.1.5至11.1.6 | 11.1.6-h40 | 原廠10/26公告已釋出 |
| 11.1.8至11.1.10 | 11.1.10-h36 | 原廠10/26公告已釋出 |
| 11.1.11至11.1.13 | 11.1.13-h16 | 原廠10/26公告已釋出 |
| 11.1.14至11.1.16 | 11.1.16-h4 | 原廠10/25公告已釋出 |
| 10.2.11至10.2.13 | 10.2.13-h27 | 原廠10/27公告已釋出 |
| 10.2.14至10.2.16 | 10.2.16-h12 | 原廠10/27公告已釋出 |
| 10.2.17至10.2.18 | 10.2.18-h13 | 原廠10/25公告已釋出 |
原廠仍列ETA的修補目標
| 目前安裝基底 | PHP修補目標 | 原廠發布狀態 |
|---|---|---|
| 12.1.2至12.1.4 | 12.1.4-h13 | ETA 10/29，尚須確認發布 |
| 12.1.8至12.1.10 | 12.1.10-h3 | ETA 10/30，尚須確認發布 |
| 11.2.0至11.2.4 | 11.2.4-h23 | ETA 10/30，尚須確認發布 |
| 11.2.5至11.2.7 | 11.2.7-h23 | ETA 10/29，尚須確認發布 |
| 11.2.11至11.2.13 | 11.2.13-h4 | ETA 10/27，尚須確認發布 |
| 11.2.14至11.2.16 | 11.2.16-h1 | ETA 10/28，尚須確認發布 |
| 11.1.7 | 11.1.7-h12 | ETA 10/30，尚須確認發布 |
| 10.2.0至10.2.7 | 10.2.7-h39 | ETA 10/30，尚須確認發布 |
| 10.2.8至10.2.10 | 10.2.10-h42 | ETA 10/29，尚須確認發布 |
ETA為原廠預估日期，日期已到也應先核對支援入口的實際發布狀態。若尚無適用修補，持續限制管理介面來源並追蹤公告。
11.2.10-h16涵蓋PHP修補；原廠FAQ另列11.2.10-h17涵蓋PHP與Brotli。需要同時處理兩項風險時，請核對適用hotfix與實際發布狀態。
行動建議：從外部邊界查到內部核心
- 01
限制來源並保全紀錄
收斂web UI／XML API可達來源，疑似入侵依影響隔離並保存紀錄
看看能怎麼應對2項資源
TWISA 會員方案
限制來源並保全紀錄
清除、重置或重建前，依原廠支援方式保存系統與管理紀錄、設定變更及相關流量資料，關聯跳板與集中日誌，建立曝險及異常活動時間線。
- 02
更新受影響設備
核對安裝基底、已釋出hotfix及HA／Panorama升級順序
查看處理指引1項資源
應對方式與指引
更新受影響設備
核對安裝基底、已釋出hotfix及HA／Panorama升級順序
- 03
調查設定與管理憑證
比對帳號、API key、規則與異常連線；依證據撤銷或輪替涉及憑證
看看能怎麼應對2項資源
TWISA 會員方案
調查設定與管理憑證
檢視管理帳號、XML API key及自動化維運的實際權限與使用紀錄。發現帳號、金鑰或設備設定可能遭取用時，依調查範圍撤銷或輪替，並核對後端整合。
- 04
可信復原與複驗
依調查結果及原廠流程復原，複驗管理限制、實際版本與業務功能
看看能怎麼應對2項資源
TWISA 會員方案
可信復原與複驗
疑似設備入侵時安排事件調查，確認範圍後依原廠流程採用可信軟體及經檢視的設定復原。複驗管理來源限制、HA／Panorama同步與業務連線，追蹤各設備實際版本。
盤點實體／虛擬防火牆、Panorama、HA節點及委外維運管理路徑
業務連線依授權放行，各層分別落實防護
- 01
可信任管理通道
管理網段、維運跳板及自動化管理來源
看看能怎麼應對2項資源
TWISA 會員方案
可信任管理通道
盤點MGT及啟用management profile的資料平面介面，核對HTTPS web UI與XML API的來源限制。以管理網段、可信任跳板及來源規則收斂可達範圍，保留必要維運路徑。
收斂可達來源僅允許必要來源接觸管理web UI與XML API，限制management profile適用介面
- 02
PAN-OS與Panorama
設備hotfix、HA角色及集中管理關係
看看能怎麼應對2項資源
TWISA 會員方案
PAN-OS與Panorama
按機型、PAN-OS安裝基底及HA角色比對修補表，將PAN-OS／Panorama管理通道與一般業務網路分段；盤點實體、虛擬及委外維運設備。
按分支修補與驗證核對實際版本、支援升級路徑與同步狀態；保留維運及設定變更紀錄
- 03
業務網路與管理憑證
設備可達網段、規則、API key及後端維運整合
看看能怎麼應對2項資源
TWISA 會員方案
業務網路與管理憑證
檢視管理帳號、XML API key及自動化維運的實際權限與使用紀錄。發現帳號、金鑰或設備設定可能遭取用時，依調查範圍撤銷或輪替，並核對後端整合。
限制設定與權限影響管理面與業務分段，檢視設定差異及維運權限；疑似憑證受侵依證據撤銷
各層日誌與流量，送往監控與應變流程
- 集中紀錄與異常調查設備、跳板及管理操作紀錄持續送往獨立監控，關聯設定、外連與流量異常
看看能怎麼應對2項資源
TWISA 會員方案
集中紀錄與異常調查
關聯設備管理登入、XML API操作、設定及規則異動、跳板登入、異常外連與流量變化。持續觀察修補及復原後的設定是否再度遭改動，異常交由應變處理。
TWISA 會員方案
限制設備管理入口
盤點MGT及啟用management profile的資料平面介面，核對HTTPS web UI與XML API的來源限制。以管理網段、可信任跳板及來源規則收斂可達範圍，保留必要維運路徑。
保全設備紀錄與調查
清除、重置或重建前，依原廠支援方式保存系統與管理紀錄、設定變更及相關流量資料，關聯跳板與集中日誌，建立曝險及異常活動時間線。
可信復原與修補複驗
疑似設備入侵時安排事件調查，確認範圍後依原廠流程採用可信軟體及經檢視的設定復原。複驗管理來源限制、HA／Panorama同步與業務連線，追蹤各設備實際版本。
設備版本與管理面分段
按機型、PAN-OS安裝基底及HA角色比對修補表，將PAN-OS／Panorama管理通道與一般業務網路分段；盤點實體、虛擬及委外維運設備。
管理帳號與自動化憑證
檢視管理帳號、XML API key及自動化維運的實際權限與使用紀錄。發現帳號、金鑰或設備設定可能遭取用時，依調查範圍撤銷或輪替，並核對後端整合。
集中日誌與異常設定偵測
關聯設備管理登入、XML API操作、設定及規則異動、跳板登入、異常外連與流量變化。持續觀察修補及復原後的設定是否再度遭改動，異常交由應變處理。
官方來源與延伸閱讀
歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。
通報更新日期：2026/10/28。產品支援與修補狀態以原廠最新資料為準。