Od kwietnia zapora sieciowa Palo Alto wykorzystywana jest w celu uzyskania dostępu do konta root

Krytyczny dzień zerowy PAN-OS firmy Palo Alto Networks jest wykorzystywany na wolności od kwietnia 2026 r., dając atakującym możliwość nieuwierzytelnionego zdalnego wykonania kodu z uprawnieniami roota na zaporach ogniowych, których dotyczy problem.

Błąd jest śledzony jako CVE-2026-0300i wpływa na portal uwierzytelniania User-ID, znany również jako portal przechwytujący, w systemie PAN-OS. Atakujący mogą to wykorzystać, wysyłając specjalnie spreparowane pakiety do podatnych na ataki zapór sieciowych serii PA i VM.

Palo Alto Networks twierdzi, że wykorzystanie jest nadal ograniczone, ale Jednostka 42 śledzi aktywność jako CL-STA-1132, prawdopodobnie klaster sponsorowany przez państwo. Kampania pokazuje, dlaczego odsłonięte usługi firewall wymagają natychmiastowej uwagi, nawet jeśli wykorzystanie wydaje się być ukierunkowane.

Na co pozwala atakujący CVE-2026-0300

CVE-2026-0300 to luka w zabezpieczeniach związana z przepełnieniem bufora w portalu uwierzytelniania User-ID PAN-OS. Palo Alto Networks oceniło go jako krytyczny, uzyskując wynik CVSS 4.0 na poziomie 9,3.

Błąd nie wymaga uwierzytelniania ani interakcji użytkownika. Jeśli do portalu, którego dotyczy problem, można uzyskać dostęp z Internetu lub niezaufanej sieci, osoba atakująca może podjąć próbę zdalnego wykonania kodu bezpośrednio w zaporze ogniowej.

Skuteczna eksploatacja zapewnia atakującym uprawnienia roota. Dzięki temu mogą uruchamiać polecenia, manipulować plikami, ukrywać aktywność, wdrażać narzędzia i używać zapory sieciowej jako punktu przestawnego w sieci wewnętrznej.

W skrócie

Których produktów Palo Alto to dotyczy

Luka dotyczy wyłącznie zapór sieciowych z serii PA i VM skonfigurowanych do korzystania z portalu uwierzytelniania User-ID. Narażenie zależy od konfiguracji, a nie tylko od zainstalowanej wersji PAN-OS.

Klienci Palo Alto Networks mówiąma to wpływ włączenie portalu i stron odpowiedzi w interfejsie zewnętrznym lub dostępnym przez Internet. Nie ma to wpływu na Prisma Access, Cloud NGFW i Panorama.

Ryzyko staje się największe, gdy portal jest dostępny z publicznego Internetu lub innej niezaufanej sieci. Ograniczanie dostępu do zaufanych stref wewnętrznych znacznie zmniejsza powierzchnię ataku.

Dotknięte wydania PAN-OS i harmonogram poprawek

Jak przebiegały ataki

Jednostka 42 mówi o nieudanej próbie wykorzystaniapróby rozpoczęły się 9 kwietnia 2026 r. Około tydzień później atakującym udało się zdalnie wykonać kod na urządzeniu z systemem PAN-OS i wstrzyknąć kod powłoki do procesu roboczego Nginx.

Po włamaniu napastnicy usunęli komunikaty jądra o awariach, wpisy o awariach nginx, zapisy o awariach i pliki zrzutu pamięci. To uporządkowanie sugeruje, że operatorzy dobrze zrozumieli urządzenie i chcieli utrudnić analizę kryminalistyczną.

Cztery dni po początkowym kompromisie napastnicy wdrożyli narzędzia z uprawnieniami roota i wyliczyli Active Directory, korzystając z poświadczeń konta usługi, które prawdopodobnie uzyskano z zapory ogniowej. Na tym etapie atakowali katalog główny domeny i domeny DomainDnsZones.

Działalność z 29 kwietnia rozszerzyła kompromis

29 kwietnia 2026 r. napastnicy wykorzystali powódź SAML przeciwko pierwszemu docelowemu urządzeniu. Spowodowało to, że drugie urządzenie stało się aktywne i odziedziczyło tę samą konfigurację ruchu internetowego.

Następnie atakujący dokonali zdalnego wykonania kodu na drugim urządzeniu. Pobrali EarthWorm i ReverseSocks5, dwa publiczne narzędzia do tunelowania, które mogą pomóc w kierowaniu ruchem przez zainfekowane systemy.

Ten etap pokazuje, jak naruszenie zapory ogniowej może przekształcić się w szerszy problem z dostępem do sieci. Gdy atakujący utworzą tunele z urządzenia brzegowego, mogą wykorzystać tę pozycję, aby ciszej dotrzeć do systemów wewnętrznych.

Atakujący polegali na narzędziach typu open source zamiast na niestandardowym złośliwym oprogramowaniu. Wybór ten może ograniczyć wykrywanie na podstawie sygnatur, ponieważ te same narzędzia mogą również pojawiać się w legalnych kontekstach administracyjnych lub testowych.

EarthWorm obsługuje proxy SOCKS5, tunele zwrotne, przekierowywanie portów i łańcuchowe ścieżki sieciowe. Jednostka 42 twierdzi, że pojawiła się w aktywności powiązanej z innymi klastrami zagrożeń, w tym Volt Typhoon i APT41.

ReverseSocks5 działa poprzez utworzenie połączenia wychodzącego z zaatakowanego systemu do kontrolera kontrolowanego przez osobę atakującą. Po nawiązaniu połączenia może kierować ruch do wewnętrznej sieci celu poprzez tunel proxy SOCKS5.

• Sprawdź, czy Portal uwierzytelniania User-ID jest włączony.
• Sprawdź, czy strony odpowiedzi są włączone w zewnętrznych lub dostępnych w Internecie interfejsach warstwy 3.
• Ogranicz dostęp do portalu uwierzytelniania User-ID tylko do zaufanych stref wewnętrznych.
• Wyłącz strony odpowiedzi na interfejsach, które mogą odbierać ruch niezaufany lub wychodzący z Internetu.
• Całkowicie wyłącz Portal uwierzytelniania User-ID, jeśli organizacja tego nie wymaga.
• Włącz identyfikator zagrożenia 510019, jeśli organizacja korzysta z zaawansowanej funkcji zapobiegania zagrożeniom i korzysta z systemu PAN-OS 11.1 lub nowszego.
• Przygotuj się do zainstalowania poprawionych wersji PAN-OS, gdy tylko dostępna będzie odpowiednia aktualizacja gałęzi.
• Zbadaj odsłonięte urządzenia pod kątem wstrzykiwania kodu powłoki, narzędzi do tunelowania, usuniętych dzienników i nietypowej aktywności Active Directory.

Wskaźniki kompromisu

Co obrońcy powinni zbadać

Organizacje posiadające odsłonięte portale uwierzytelniające nie powinny poprzestawać na minimalizowaniu ryzyka. Ponieważ ataki rozpoczęły się przed publicznym ujawnieniem, zespoły ds. bezpieczeństwa powinny sprawdzić, czy dotknięte urządzenia zostały już dotknięte.

Do ważnych oznak zaliczają się brakujące dzienniki, nieoczekiwane usuwanie awarii, nowe lub nieznane pliki w ścieżkach tymczasowych, nietypowe połączenia wychodzące, nieznana aktywność proxy SOCKS i wyliczanie Active Directory z kont powiązanych z zaporą ogniową.

Obrońcy powinni także zmieniać dane uwierzytelniające używane lub przechowywane przez zaporę sieciową, jeśli naruszenie bezpieczeństwa nadal jest możliwe. Jeśli osoby atakujące uzyskają dane uwierzytelniające konta usługi, mogą zachować dostęp nawet po zmianie ekspozycji portalu.

Dlaczego urządzenia brzegowe pozostają atrakcyjnymi celami

Zapory ogniowe, sieci VPN, routery i inne systemy brzegowe zajmują cenne pozycje. Łączą się z Internetem, przetwarzają zaufany ruch i często nie mają takiego samego zasięgu wykrywania punktów końcowych, jak zwykłe stacje robocze i serwery.

Dzięki temu są przydatne do ukrytego dostępu. Atakujący mogą je wykorzystać do tunelowania, gromadzenia danych uwierzytelniających, ruchu bocznego i przechwytywania ruchu.

CVE-2026-0300 pasuje do tego szerszego wzorca.Luka umożliwia atakującym dostęp do konta root na urządzeniu zabezpieczającym, a obserwowana kampania pokazuje, jak szybko dostęp ten może przejść od wykorzystania do wewnętrznego wykrywania.

Często zadawane pytania