Критична вразливість CVE-2026-0300 у Palo Alto PAN-OS

Технічна природа CVE-2026-0300 полягає у неавторизованому переповненні буфера (buffer overflow) в компоненті User-ID Authentication Portal (Captive Portal). Експлуатація цієї вразливості дозволяє зловмисникам ініціювати віддалене виконання коду з привілеями root на пристроях PA-Series та VM-Series.

Важливо зазначити, що платформи Prisma Access, Cloud NGFW та Panorama не піддаються цій загрозі, що свідчить про безпеку хмарної архітектури у цьому специфічному випадку. Аналітики підрозділу Unit 42 зазначають, що ризик значно знижується, якщо доступ до порталу обмежено лише довіреними внутрішніми IP-адресами. Однак системи, які виставлені в публічну мережу, залишаються головною мішенню для кіберзлочинців.

Розуміння дій зловмисників після пробиття периметра є критичним для своєчасного виявлення індикаторів компрометації. Після успішної експлуатації зловмисники виконують shell-код injection безпосередньо в робочий процес вебсервера nginx на самому пристрої. Це створює прихований канал, який важко зафіксувати стандартними засобами моніторингу. Для закріплення в інфраструктурі кіберзлочинці проводять антифорензичне очищення системних логів, щоб приховати сліди свого втручання.

Згодом для забезпечення постійного віддаленого контролю (C2) та передачі команд розгортаються спеціалізовані інструменти мережевого тунелювання, такі як EarthWorm та ReverseSocks5.

Зафіксовані сценарії атак демонструють, як захоплення мережевого екрана призводить до глибокої компрометації внутрішньої мережі. Отримавши доступ до пристрою, зловмисники витягують з його пам’яті легітимні облікові дані. Використовуючи ці корпоративні записи, вони імітують запити від довіреного обладнання до серверів Active Directory. Це дозволяє провести детальний аудит (enumeration) об’єктів каталогу та виявити облікові записи з високими привілеями. Таким чином, єдина прогалина на периметрі швидко конвертується у комплексну загрозу для всієї інфраструктури керування доступом.

Оперативний моніторинг цифрового сліду є базовою вимогою для захисту від подібних масових експлуатацій. Дані платформи Censys свідчать про те, що у глобальній мережі виявлено понад 263 тисячі відкритих екземплярів інфраструктури PAN-OS. Хоча не всі вони публікують User-ID Authentication Portal назовні, загальна площа можливої атаки залишається значною. Командам з кібербезпеки рекомендується провести сканування власної інфраструктури за допомогою таких пошукових запитів, як “vendor: “PaloAltoNetworks” and product: “PAN-OS””. Регулярний аудит експонованих сервісів дозволяє вчасно виявити забуті конфігурації та прибрати їх із публічного доступу.

Реагування на CVE-2026-0300 вимагає поєднання невідкладних конфігураційних змін та планового оновлення систем. До моменту розгортання виправлених версій PAN-OS, компанія настійно радить обмежити маршрутизацію до порталу автентифікації виключно довіреними внутрішніми мережами. Якщо ця функція не є критичною для бізнес-процесів, її слід повністю вимкнути. Паралельно розробник випустив офіційні оновлення для версій PAN-OS 12.1, 11.2, 11.1 та 10.2, які необхідно оперативно інтегрувати у виробничі середовища.

Експлуатація критичної вразливості на фаєрволах доводить, що безпека периметра більше не гарантує абсолютного захисту корпоративних ресурсів. Ситуація, коли скомпрометований маршрутизатор або фаєрвол стає плацдармом для атак на інфраструктуру Active Directory, підкреслює необхідність мікросегментації та переходу до архітектури Zero Trust. Тільки системний підхід, що охоплює постійний аудит, контроль доступу та швидке реагування, забезпечує надійну безперервність бізнесу.

Компанія iIT Distribution як дистриб’ютор рішень інформаційної безпеки допомагає партнерам та клієнтам будувати надійні та відмовостійкі архітектури захисту. Експертна команда iITD забезпечує повний супровід проєктів — від розширеної технічної консультації до підбору оптимального обладнання та експертизи впровадження концепцій Zero Trust у сучасні корпоративні мережі.