Palo Alto firewall zero-day wordt sinds april misbruikt om root-toegang te verkrijgen

Een kritieke PAN-OS zero-day van Palo Alto Networks wordt sinds april 2026 in het wild uitgebuit, waardoor aanvallers een pad krijgen naar niet-geverifieerde uitvoering van externe code met rootrechten op getroffen firewalls.

De fout wordt bijgehouden als CVE-2026-0300en heeft invloed op de User-ID Authentication Portal, ook bekend als Captive Portal, in PAN-OS. Aanvallers kunnen hier misbruik van maken door speciaal vervaardigde pakketten naar kwetsbare firewalls uit de PA- en VM-serie te sturen.

Palo Alto Networks zegt dat de exploitatie beperkt blijft, maar Unit 42 volgt de activiteit als CL-STA-1132, een waarschijnlijk door de staat gesponsord cluster. De campagne laat zien waarom blootgestelde firewalldiensten noodhulp nodig hebben, zelfs als de exploitatie doelgericht lijkt.

Wat CVE-2026-0300 aanvallers mogelijk maakt

CVE-2026-0300 is een bufferoverloopkwetsbaarheid in het PAN-OS User-ID Authentication Portal. Palo Alto Networks beoordeelt het als cruciaal met een CVSS 4.0-score van 9,3.

De bug vereist geen authenticatie en geen gebruikersinteractie. Als de getroffen portal bereikbaar is via internet of een niet-vertrouwd netwerk, kan een aanvaller proberen externe code rechtstreeks tegen de firewall uit te voeren.

Succesvolle exploitatie geeft aanvallers rootrechten. Hierdoor kunnen ze opdrachten uitvoeren, bestanden manipuleren, activiteiten verbergen, tools inzetten en de firewall gebruiken als draaipunt in het interne netwerk.

In één oogopslag

Welke Palo Alto-producten worden beïnvloed

Het beveiligingslek is alleen van toepassing op firewalls uit de PA- en VM-serie die zijn geconfigureerd om de User-ID Authentication Portal te gebruiken. De blootstelling is afhankelijk van de configuratie, en niet alleen van de geïnstalleerde PAN-OS-versie.

Palo Alto Networks zegt klantenworden beïnvloed wanneer de portal is ingeschakeld en antwoordpagina's zijn ingeschakeld op een externe of via internet toegankelijke interface. Prisma Access, Cloud NGFW en Panorama worden niet beïnvloed.

Het risico wordt het grootst wanneer de portal bereikbaar is vanaf het openbare internet of een ander niet-vertrouwd netwerk. Het beperken van de toegang tot vertrouwde interne zones verkleint het aanvalsoppervlak aanzienlijk.

Betrokken PAN-OS-releases en fixschema

Hoe de aanvallen zich ontvouwden

Eenheid 42 zegt dat er sprake is van mislukte uitbuitingDe pogingen begonnen op 9 april 2026. Ongeveer een week later slaagden de aanvallers erin om externe code uit te voeren op een PAN-OS-apparaat en shellcode in een nginx-werkproces te injecteren.

Na het compromis verwijderden de aanvallers crash-kernelberichten, nginx-crashvermeldingen, crashrecords en kerndumpbestanden. Dat opruimen suggereert dat de operators het apparaat goed begrepen en forensische beoordeling moeilijker wilden maken.

Vier dagen na de eerste aanval implementeerden de aanvallers tools met rootrechten en inventariseerden ze Active Directory met behulp van serviceaccountreferenties die waarschijnlijk van de firewall waren verkregen. Tijdens deze fase richtten ze zich op de domeinroot en DomainDnsZones.

De activiteit van 29 april breidde het compromis uit

Op 29 april 2026 gebruikten de aanvallers een SAML-overstroming tegen het eerste gerichte apparaat. Dit zorgde ervoor dat een tweede apparaat actief werd en dezelfde internetgerichte verkeersconfiguratie overnam.

De aanvallers slaagden er vervolgens in om code op afstand uit te voeren op het tweede apparaat. Ze hebben EarthWorm en ReverseSocks5 gedownload, twee openbare tunnelingtools die kunnen helpen verkeer door gecompromitteerde systemen te leiden.

Deze fase laat zien hoe een firewall-compromis kan uitmonden in een breder netwerktoegangsprobleem. Zodra aanvallers tunnels maken vanaf een edge-apparaat, kunnen ze die positie gebruiken om stiller interne systemen te bereiken.

De aanvallers vertrouwden op open source-tools in plaats van op maat gemaakte malware. Deze keuze kan de op handtekeningen gebaseerde detectie verminderen, omdat dezelfde tools ook kunnen verschijnen in legitieme beheer- of testcontexten.

EarthWorm ondersteunt SOCKS5-proxying, reverse tunnels, port forwarding en gekoppelde netwerkpaden. Eenheid 42 zegt dat het is verschenen in activiteiten die verband houden met andere dreigingsclusters, waaronder Volt Typhoon en APT41.

ReverseSocks5 werkt door een uitgaande verbinding te creëren van het aangetaste systeem naar een door de aanvaller bestuurde controller. Eenmaal verbonden, kan het verkeer via een SOCKS5-proxytunnel naar het interne netwerk van het doel leiden.

• Controleer of User-ID Authentication Portal is ingeschakeld.
• Bevestig of antwoordpagina's zijn ingeschakeld op externe of via internet toegankelijke Layer 3-interfaces.
• Beperk de toegang tot de gebruikers-ID-authenticatieportal alleen tot vertrouwde interne zones.
• Schakel antwoordpagina's uit op interfaces die niet-vertrouwd of internetgericht verkeer kunnen ontvangen.
• Schakel de User-ID Authentication Portal volledig uit als de organisatie dit niet nodig heeft.
• Schakel Bedreigings-ID 510019 in als de organisatie over Geavanceerde Bedreigingspreventie beschikt en PAN-OS 11.1 of hoger gebruikt.
• Bereid u voor op het installeren van vaste PAN-OS-releases zodra de relevante branche-update beschikbaar komt.
• Onderzoek blootgestelde apparaten voor shellcode-injectie, tunnelingtools, verwijderde logboeken en ongebruikelijke Active Directory-activiteit.

Indicatoren van compromis

Wat verdedigers zouden moeten onderzoeken

Organisaties met blootgestelde authenticatieportals mogen niet stoppen bij mitigatie. Omdat de aanvallen begonnen vóór de publieke bekendmaking, moeten beveiligingsteams beoordelen of getroffen apparaten al zijn aangeraakt.

Belangrijke signalen zijn onder meer ontbrekende logboeken, onverwachte crash-opruiming, nieuwe of onbekende bestanden in tijdelijke paden, ongebruikelijke uitgaande verbindingen, onbekende SOCKS-proxy-activiteit en Active Directory-opsomming van firewall-gerelateerde accounts.

Verdedigers moeten ook de inloggegevens die de firewall heeft gebruikt of opgeslagen, rouleren als compromis mogelijk blijft. Als aanvallers serviceaccountreferenties hebben verkregen, kunnen ze toegang behouden, zelfs nadat de portalblootstelling is gewijzigd.

Waarom edge-apparaten aantrekkelijke doelwitten blijven

Firewalls, VPN's, routers en andere edge-systemen bevinden zich op waardevolle posities. Ze zijn verbonden met internet, verwerken vertrouwd verkeer en missen vaak dezelfde dekking voor eindpuntdetectie als op normale werkstations en servers.

Dat maakt ze nuttig voor heimelijke toegang. Aanvallers kunnen ze misbruiken voor tunneling, het verzamelen van inloggegevens, zijwaartse verplaatsing en het onderscheppen van verkeer.

CVE-2026-0300 past in dit bredere patroon.De kwetsbaarheid geeft aanvallers root-toegang tot een beveiligingsapparaat, en de waargenomen campagne laat zien hoe snel die toegang kan overgaan van exploitatie naar interne ontdekking.

Veelgestelde vragen