Kritische Warnung CVE-2026-0300 in PAN-OS ermöglicht die Codeausführung als root und wird bereits genutzt

Palo Alto Networks hat eine Schwachstelle kritischer Schwere auf dem Benutzer-ID-Authentifizierungsportal (bekannt als Captive Portal) von PAN-OS gewarnt, das bereits bei gezielten Angriffen ausgenutzt wird. als CVE-2026-0300, ist ein Pufferüberlauf, der es einem unauthenticated Angreifer ermöglicht, beliebigen Code mit Root-Privilegien auf den Geräten der PA-Serie und der VM-Serie auszuführen, die durch speziell manipulierte Pakete dem Internet ausgesetzt sind.

Die Fähigkeit, Code als root in einer Firewall zu führen, bedeutet ein extremes Risiko: Ein Angreifer kann Kontrollen deaktivieren, Persistenz erzeugen, Verkehr abfangen oder manipulieren, und die engagierte Ausrüstung als Trampolin verwenden, um sich seitlich innerhalb des Netzwerks zu bewegen. Palo Alto hat daher den Ausfall mit höchster Schwere beschrieben und hat darauf hingewiesen, dass es bereits Beweise für eine begrenzte Ausbeutung gegen Authentifizierungsportale gibt, die aus unzuverlässigen Richtungen oder dem öffentlichen Internet zugänglich sind.

Wenn Ihre Organisation PAN-OS verwendet, überprüfen Sie sofort, ob das Authentifizierungsportal aktiviert und freigegeben ist. Palo Alto bietet eine Seite mit technischen Details und ursprünglichen Empfehlungen in Ihrer offiziellen Mitteilung: https: / / sicherheit.paloaltonetworks.com / CVE-2026-0300. Es ist auch angebracht, die spezifische Konfiguration des Captive Portals in der Produkt- technischen Dokumentation zu überprüfen, um die Exposition schnell zu identifizieren und zu mildern: https: / / docs.paloaltonetworks.com /... / confire-captive-portal.

Ein beunruhigender Hintergrund: Internet-Tracking-Dienste erkennen Tausende von öffentlich zugänglichen PAN-OS Firewalls. Shadowserver berichtet zum Beispiel über 5.800 online exponierte VM-Series Firewalls, hauptsächlich in Asien und Nordamerika konzentriert; das bedeutet, dass die potenzielle Angriffsfläche groß ist und dass viele Organisationen bis zur Anwendung eines Patches oder einer endgültigen Minderung gefährdet sein könnten. Sehen Sie hier öffentliche Follow-up: https: / / dashboard.Shadowserver.org /....

Bis Palo Alto veröffentlicht einen Patch, die dringendste und praktische Maßnahme ist die Verringerung der Exposition: den Zugriff auf das User-ID Authentication Portal auf vertrauenswürdige Netzwerkbereiche einschränkt und, wenn sie eine solche Beschränkung nicht garantieren kann, das Portal deaktivieren vorübergehend. Diese Empfehlung steht im Einklang mit den Sicherheitspraktiken in der Perimeter-Management: Lassen Sie keine sensiblen Dienste von unzuverlässigen Netzwerken ohne zusätzliche Kontrollen zugänglich.

Neben der Deaktivierung oder Sperrung des Zugriffs, der Implementierung von Kompensatorsteuerungen: Anwendung der Zugangskontrollliste (ACL) auf Netzwerkränder und Transitanbieter, um den Zugriff auf die Schnittstelle von öffentlichen Adressen zu blockieren, die Nutzung von VPNs oder Managementtunneln für die Remote-Administration zu verlangen und sicherzustellen, dass Firewall-Management nicht direkt dem Internet ausgesetzt ist. Priorisieren Sie Ereignisprotokoll- und Geräteintegritätswarnungen für abnormale Verhaltensweisen (unplaned Reinitiations, unautorisierte Konfigurationsänderungen, verdächtige IP-Verbindungen).

Wenn Sie die Verpflichtung vermuten, gehen Sie mit einem Antwortplan fort: Isolieren Sie die betroffenen Geräte aus dem Netzwerk, sammeln Sie forensische Geräte (Systemlog, Konfiguration, Verkehrserfassung), vertrauen Sie dem Bild des Geräts nicht, bis eine saubere Rekonstruktion aus einem bekannten Bild und unterschreiben Sie die administrativen Anmeldeinformationen nach der Wiederherstellung. Betrachten Sie die Hilfe eines externen forensischen Teams und melden Sie den Vorfall an die betreffenden Parteien gemäß regulatorischen Anforderungen und Verträgen.

Diese Schwachstelle ist in einem Trend: In den letzten Monaten wurden mehrere PAN-OS-Versagen in der Natur ausgenutzt, die zeigen, dass Sicherheitsgeräte mit exponierten Schnittstellen vorrangige Ziele für Angreifer sind, die eine anhaltende Kontrolle suchen. Seit Palo Alto ist ein Lieferant eines großen Teils der globalen kritischen und korporativen Infrastruktur, die potenziellen Auswirkungen reichen von Punkt Unterbrechungen bis zu Lücken, die sensible Informationen von Kunden und Mitarbeitern kompromittieren.

Schließlich dokumentieren und automatisieren Sie die Erkennung und Minderung: Erfinden Sie alle Firewalls und Authentifizierungsportale, priorisieren Sie diese öffentlich zugänglich, wenden Sie sich an neue Zugangsregeln und planen Sie die Anwendung des offiziellen Patches, sobald es verfügbar ist. Halten Sie sich durch die Mitteilung des Herstellers und die seriösen Intelligenz-Feeds informiert; das Fenster zwischen Offenlegung und Massenausbeutung kann kurz sein, so Geschwindigkeit und operative Disziplin sind Schlüssel zur Minimierung von Auswirkungen.