Palo Alto Networks a lansat o alertă avertizând că o vulnerabilitate critică de buffer overflow în software-ul său PAN-OS a fost exploatată.
Vulnerabilitatea, urmărită sub numele CVE-2026-0300, a fost descrisă ca un caz de execuție neautentificată de cod de la distanță. Aceasta are un scor CVSS de 9.3 dacă User-ID Authentication Portal este configurat să permită accesul de pe internet sau de pe orice rețea nesigură. Severitatea scade la 8.7 dacă accesul la portal este restricționat doar la adrese IP interne de încredere.
"O vulnerabilitate de buffer overflow în serviciul User-ID Authentication Portal (cunoscut și sub numele de Captive Portal) al software-ului Palo Alto Networks PAN-OS permite unui atacator neautentificat să execute cod arbitrar cu privilegii de root pe firewall-urile PA-Series și VM-Series prin trimiterea de pachete special create", a declarat compania.
Conform Palo Alto Networks, vulnerabilitatea a fost supusă unei "exploatări limitate", vizând în mod specific instanțele în care User-ID Authentication Portal a fost lăsat accesibil publicului.
Următoarele versiuni sunt afectate de această vulnerabilitate: PAN-OS 12.1 - < 12.1.4-h5, < 12.1.7 PAN-OS 11.2 - < 11.2.4-h17, < 11.2.7-h13, < 11.2.10-h6, < 11.2.12 PAN-OS 11.1 - < 11.1.4-h33, < 11.1.6-h32, < 11.1.7-h6, < 11.1.10-h25, < 11.1.13-h5, < 11.1.15 PAN-OS 10.2 - < 10.2.7-h34, < 10.2.10-h36, < 10.2.13-h21, < 10.2.16-h7, < 10.2.18-h6
Problema, în stadiul actual, nu este corectată, Palo Alto Networks planificând să lanseze patch-uri începând cu 13 mai 2026. Compania a mai precizat că vulnerabilitatea se aplică doar firewall-urilor PA-Series și VM-Series care sunt configurate să utilizeze User-ID Authentication Portal.
"Clienții care urmează cele mai bune practici standard de securitate, cum ar fi restricționarea portalurilor sensibile la rețele interne de încredere, prezintă un risc mult redus", a adăugat compania.
În absența unui patch, utilizatorii sunt sfătuiți fie să restricționeze accesul User-ID Authentication Portal doar la zone de încredere, fie să îl dezactiveze complet, dacă nu este necesar.