Firewall-ul Palo Alto zero-day a fost exploatat din aprilie pentru a obține acces root

Din aprilie 2026, un PAN-OS PAN-OS critic de la Palo Alto Networks a fost exploatat în sălbăticie din aprilie 2026, oferind atacatorilor o cale către execuția de cod la distanță neautentificată cu privilegii root pe firewall-urile afectate.

Defectul este urmărit ca CVE-2026-0300și afectează Portalul de autentificare cu ID utilizator, cunoscut și sub numele de Portal captiv, în PAN-OS. Atacatorii îl pot exploata trimițând pachete special concepute către firewall-urile vulnerabile din seria PA și VM.

Palo Alto Networks spune că exploatarea rămâne limitată, dar Unitatea 42 urmărește activitatea ca CL-STA-1132, un cluster probabil sponsorizat de stat. Campania arată de ce serviciile de firewall expuse necesită o atenție de urgență, chiar și atunci când exploatarea pare vizată.

Ce le permite atacatorilor să facă CVE-2026-0300

CVE-2026-0300 este o vulnerabilitate de depășire a memoriei tampon în portalul de autentificare PAN-OS User-ID. Palo Alto Networks îl consideră critic cu un scor CVSS 4.0 de 9,3.

Bug-ul nu necesită autentificare și nicio interacțiune a utilizatorului. Dacă portalul afectat este accesibil de pe internet sau de pe o rețea neîncrezătoare, un atacator poate încerca executarea codului de la distanță direct împotriva paravanului de protecție.

Exploatarea cu succes oferă atacatorilor privilegii root. Acest lucru le poate permite să execute comenzi, să manipuleze fișiere, să ascundă activitatea, să implementeze instrumente și să folosească firewall-ul ca punct pivot în rețeaua internă.

Dintr-o privire

Ce produse Palo Alto sunt afectate

Vulnerabilitatea se aplică numai firewall-urilor din seria PA și VM-Series configurate să utilizeze Portalul de autentificare cu ID utilizator. Expunerea depinde de configurație, nu doar de versiunea PAN-OS instalată.

Palo Alto Networks spune cliențiisunt afectate atunci când portalul este activat și paginile de răspuns sunt activate pe o interfață externă sau accesibilă pe internet. Prisma Access, Cloud NGFW și Panorama nu sunt afectate.

Riscul devine cel mai mare atunci când portalul este accesibil de pe internetul public sau din altă rețea de încredere. Restricționarea accesului la zonele interne de încredere reduce foarte mult suprafața de atac.

Versiunile PAN-OS afectate și programul de remediere

Cum s-au desfășurat atacurile

Unitatea 42 spune exploatare nereușităîncercările au început pe 9 aprilie 2026. Aproximativ o săptămână mai târziu, atacatorii au realizat execuția codului de la distanță pe un dispozitiv PAN-OS și au injectat shellcode într-un proces de lucru nginx.

După compromis, atacatorii au șters mesajele de blocare a nucleului, intrările de blocare nginx, înregistrările de blocare și fișierele de descărcare de bază. Acea curățare sugerează că operatorii au înțeles bine aparatul și au vrut să îngreuneze examinarea criminalistică.

La patru zile după compromisul inițial, atacatorii au implementat instrumente cu privilegii root și au enumerat Active Directory folosind acreditările contului de serviciu probabil obținute de la firewall. Au vizat rădăcina domeniului și DomainDnsZones în această fază.

Activitatea din 29 aprilie a extins compromisul

Pe 29 aprilie 2026, atacatorii au folosit o inundație SAML împotriva primului dispozitiv vizat. Acest lucru a făcut ca un al doilea dispozitiv să devină activ și să moștenească aceeași configurație de trafic orientată spre internet.

Atacatorii au realizat apoi executarea codului de la distanță pe al doilea dispozitiv. Ei au descărcat EarthWorm și ReverseSocks5, două instrumente publice de tunelare care pot ajuta la direcționarea traficului prin sisteme compromise.

Această etapă arată cum un compromis de firewall se poate transforma într-o problemă mai largă de acces la rețea. Odată ce atacatorii creează tuneluri dintr-un dispozitiv de margine, ei pot folosi acea poziție pentru a ajunge mai liniștit la sistemele interne.

Atacatorii s-au bazat pe instrumente open-source în loc de malware personalizat. Această alegere poate reduce detectarea bazată pe semnătură, deoarece aceleași instrumente pot apărea și în contexte legitime de administrare sau de testare.

EarthWorm acceptă proxy SOCKS5, tuneluri inverse, redirecționare porturi și căi de rețea înlănțuite. Unitatea 42 spune că a apărut în activitate legată de alte grupuri de amenințări, inclusiv Volt Typhoon și APT41.

ReverseSocks5 funcționează prin crearea unei conexiuni de ieșire de la sistemul compromis la un controler controlat de atacator. Odată conectat, poate direcționa traficul în rețeaua internă a țintei printr-un tunel proxy SOCKS5.

• Verificați dacă Portalul de autentificare cu ID utilizator este activat.
• Confirmați dacă paginile de răspuns sunt activate pe interfețele Layer 3 externe sau accesibile pe internet.
• Restricționați accesul portalului de autentificare ID utilizator numai la zonele interne de încredere.
• Dezactivați paginile de răspuns pe interfețele care pot primi trafic neîncrezat sau care se adresează internetului.
• Dezactivați complet Portalul de autentificare cu ID-ul utilizatorului dacă organizația nu îl solicită.
• Activați ID-ul de amenințare 510019 dacă organizația are Advanced Threat Prevention și rulează PAN-OS 11.1 sau o versiune ulterioară.
• Pregătiți-vă să instalați versiuni fixe PAN-OS de îndată ce actualizarea ramurilor relevante devine disponibilă.
• Investigați dispozitivele expuse pentru injectarea de cod shell, instrumente de tunel, jurnale șterse și activitate neobișnuită din Active Directory.

Indicatori de compromis

Ce ar trebui să investigheze apărătorii

Organizațiile cu portaluri de autentificare expuse nu ar trebui să se oprească la atenuare. Deoarece atacurile au început înainte de dezvăluirea publică, echipele de securitate ar trebui să verifice dacă aparatele afectate au fost deja atinse.

Semnele importante includ jurnalele lipsă, curățarea accidentală neașteptată, fișiere noi sau necunoscute în căi temporare, conexiuni de ieșire neobișnuite, activitate proxy SOCKS necunoscută și enumerarea Active Directory din conturile legate de firewall.

De asemenea, apărătorii ar trebui să rotească acreditările pe care firewall-ul le-a folosit sau stocat, dacă compromisul rămâne posibil. Dacă atacatorii au obținut acreditările contului de serviciu, aceștia pot păstra accesul chiar și după modificarea expunerii portalului.

De ce dispozitivele edge rămân ținte atractive

Firewall-urile, VPN-urile, routerele și alte sisteme de margine se află în poziții valoroase. Aceștia se confruntă cu internetul, procesează trafic de încredere și, adesea, nu au aceeași acoperire de detectare a punctelor finale care se găsește pe stațiile de lucru și serverele normale.

Acest lucru le face utile pentru accesul ascuns. Atacatorii le pot abuza pentru tuneluri, colectarea acreditărilor, mișcarea laterală și interceptarea traficului.

CVE-2026-0300 se potrivește acestui model mai larg.Vulnerabilitatea oferă atacatorilor acces root pe un dispozitiv de securitate, iar campania observată arată cât de repede se poate trece acel acces de la exploatare la descoperirea internă.

FAQ