Palo Alto Networks PAN-OS содержит критическую уязвимость CVE-2026-0300 в сервисе User-ID Authentication Portal, уже эксплуатируемую в реальных атаках: неаутентифицированный удалённый злоумышленник может выполнять произвольный код с правами root на межсетевых экранах PA-Series и VM-Series, особенно опасно при доступе портала из интернета; патча пока нет, поэтому администраторам таких устройств необходимо немедленно либо отключить портал, если он не нужен, либо жестко ограничить его доступ только доверенными внутренними сетями.

Технические детали CVE-2026-0300

Согласно advisory Palo Alto Networks, CVE-2026-0300 представляет собой буферное переполнение в сервисе User-ID Authentication Portal (Captive Portal) операционной системы PAN-OS. Уязвимость позволяет атакующему отправить специально сформированные сетевые пакеты и, без какой-либо аутентификации, добиться выполнения произвольного кода с правами root на:

• устройствах серии PA-Series;
• виртуальных межсетевых экранах VM-Series;
• при условии, что на них активирован User-ID Authentication Portal.

Критичность уязвимости формально оценена по CVSS как:

• 9.3 — если User-ID Authentication Portal доступен из интернета или любой недоверенной сети;
• 8.7 — если доступ к порталу ограничен только доверенными внутренними IP-адресами.

Таким образом, сам по себе программный дефект один и тот же, но оценка риска сильно зависит от сетевого окружения и экспонирования сервиса. Технически это классическая для MITRE ATT&CK техника T1190 Exploit Public-Facing Application: эксплуатация сетевого сервиса, доступного извне.

Вендор подчёркивает, что уязвимость:

• уже находится под ограниченной эксплуатацией в дикой природе;
• нацелена на конфигурации, где User-ID Authentication Portal оставлен публично доступным;
• не затрагивает устройства, где этот сервис не настроен или отключён.

На момент публикации advisory уязвимость не исправлена. Palo Alto Networks планирует начать выпуск обновлений безопасности с 13 мая 2026 года. Полный перечень затронутых версий PAN-OS указан в advisory на официальной странице вендора Palo Alto Networks Security Advisories. Запись в базе NVD доступна по адресу NVD: CVE-2026-0300.

Оценка воздействия и профиль риска

Ключевая особенность данной уязвимости — комбинация трёх факторов:

• удалённая эксплуатация по сети;
• полное отсутствие необходимости в аутентификации;
• получение прав root на сетевом периметре.

В реальных архитектурах межсетевой экран с PAN-OS часто является первой линией защиты между внешними и внутренними сетями. Компрометация такого устройства с привилегиями root практически означает потерю доверия ко всему сетевому периметру. Потенциальные последствия:

• Полный контроль трафика: перехват, подмена, избирательное блокирование или разрешение соединений, внедрение вредоносного содержимого в поток данных.
• Обход существующих политик безопасности: создание скрытых правил, туннелей или политик, которые позволят незаметно уводить данные или обеспечивать постоянный доступ.
• Плацдарм для дальнейшего продвижения: использование скомпрометированного firewall как промежуточной точки для атак на внутренние серверы, сегменты и учетные записи.
• Нарушение целостности журналов: злоумышленник с правами root может подчищать следы, искажать логи или перенаправлять их на внешние системы.

Формулировка Palo Alto Networks о «limited exploitation» означает, что атаки уже зафиксированы, но пока, по оценке вендора, не носят массовый характер и фокусируются на наиболее уязвимых конфигурациях — там, где User-ID Authentication Portal открыт в интернет. Исторически такие ситуации часто развиваются по схеме «от единичных целевых атак к широкомасштабному сканированию» после появления детального анализа или готовых эксплойтов.

Сегменты, для которых риск особенно высок:

• организации, где User-ID Authentication Portal используется для принудительной аутентификации пользователей при доступе к сети и открыт снаружи;
• инфраструктуры с большим количеством филиалов и удалённых пользователей, где портал мог быть вынесен в зону, доступную из интернета, «для удобства»;
• любые среды, где firewall с PAN-OS является единственной точкой контроля периметра и единственным рубежом сегментации.

Даже если портал доступен только из внутренних сетей, риск не исчезает полностью: уязвимость может быть использована злоумышленником, уже получившим доступ в локальную сеть (через фишинг, заражение рабочей станции и т.п.), для быстрого повышения прав до контроля над межсетевым экраном. Это превращает CVE-2026-0300 в удобный «усилитель» для других векторов атак.

Практические рекомендации до выхода патчей

1. Немедленная проверка конфигурации

Первоочередная задача — понять, на каких устройствах существует реальный вектор атаки:

1. Составьте перечень всех межсетевых экранов PA-Series и VM-Series с PAN-OS в вашей инфраструктуре.
2. Для каждого устройства проверьте, активирован ли User-ID Authentication Portal.
3. Определите, из каких сетевых зон к нему есть доступ:
   • есть ли прямой доступ из интернета;
   • открыт ли он в любых «гостевых» или иных недоверенных сетях;
   • или ограничен строго внутренними адресами / VPN.

Устройства с активным порталом, доступным из интернета или других недоверенных сегментов, должны быть классифицированы как критически уязвимые.

2. Временное отключение или жёсткое ограничение доступа

До выхода патчей возможны два базовых подхода к снижению риска, оба рекомендованы самим вендором:

• Полное отключение User-ID Authentication Portal, если функциональность не является критической для бизнес-процессов.
  • Это самый надёжный и однозначный способ устранить вектор атаки.
  • Требует оценки, какие сервисы или сценарии аутентификации зависят от этого портала.
• Строгое ограничение доступа, если отключение невозможно:
  • разрешить доступ к порталу только из доверенных сетевых зон и по строго ограниченным адресам;
  • запретить любое обращение к этому сервису с адресов интернета и гостевых/подрядных сетей;
  • при необходимости — вынести доступ к порталу за VPN, чтобы исключить его прямую экспозицию.

Даже одно лишь ограничение доступа с интернета переводит риск с уровня «полностью удалённая эксплуатация» на уровень «возможность использования только после проникновения во внутреннюю сеть».

3. Подготовка к обновлению PAN-OS

С учётом анонса выпуска исправлений с 13 мая 2026 года рекомендуется уже сейчас:

• отслеживать публикации на странице security advisory Palo Alto Networks по CVE-2026-0300;
• спланировать внеочередное окно обслуживания для обновления всех затронутых версий PAN-OS;
• подготовить процедуру отката на случай, если обновление вызовет побочные эффекты, но при этом расставить приоритеты:
  • первый приоритет — устройства с порталом, ранее доступным из интернета;
  • затем — все остальные устройства, где портал включён, даже если он внутренний;
  • последними — устройства, где User-ID Authentication Portal не используется (для них риск от CVE-2026-0300 минимален).

4. Мониторинг и поиск возможного компромисса

Хотя в исходном advisory не приводятся конкретные IOC, имеет смысл усилить наблюдение за устройствами PAN-OS:

• проанализировать журналы обращений к User-ID Authentication Portal на предмет необычных источников или активности в нестандартное время;
• проверить наличие аномальных изменений в конфигурации firewall (новые правила, объекты, политики, не инициированные администраторами);
• усилить контроль целостности и резервное копирование конфигурации устройств, чтобы можно было выявить и откатить несанкционированные изменения;
• согласовать с SOC или внешним провайдером мониторинга приоритетную корреляцию событий, связанных с PAN-OS, по технике Exploit Public-Facing Application.

Если есть подозрение на возможный компромисс, целесообразно рассматривать такой firewall как скомпрометированный узел, с соответствующими мерами: изоляция, форензика, ротация ключей и паролей, проверка внутренних систем на предмет дальнейшего продвижения злоумышленника.

Пока исправления для CVE-2026-0300 ещё не вышли, ключевой шаг для снижения риска — исключить доступ к User-ID Authentication Portal из интернета и любых недоверенных сетей, а при возможности — временно отключить этот сервис; после релиза обновлений PAN-OS нужно в кратчайшие сроки установить патчи на все устройства PA-Series и VM-Series, где портал используется, и только затем рассматривать возвращение портала к прежним сценариям работы.