ไฟร์วอลล์ Palo Alto แบบ Zero-day ถูกโจมตีตั้งแต่เดือนเมษายนเพื่อเข้าถึงรูท

Zero-day ที่สำคัญของ Palo Alto Networks PAN-OS ถูกโจมตีแบบปกติตั้งแต่เดือนเมษายน 2569 ทำให้ผู้โจมตีมีเส้นทางไปสู่การเรียกใช้โค้ดจากระยะไกลที่ไม่ได้รับการรับรองความถูกต้องด้วยสิทธิ์รูทบนไฟร์วอลล์ที่ได้รับผลกระทบ

ติดตามข้อบกพร่องเป็น CVE-2026-0300และส่งผลต่อ User-ID Authentication Portal หรือที่เรียกว่า Captive Portal ใน PAN-OS ผู้โจมตีสามารถใช้ประโยชน์จากมันได้โดยการส่งแพ็กเก็ตที่สร้างขึ้นเป็นพิเศษไปยังไฟร์วอลล์ PA-Series และ VM-Series ที่มีช่องโหว่

พาโล อัลโต เน็ตเวิร์กส์ กล่าวว่าการแสวงหาผลประโยชน์ยังคงมีจำกัด แต่หน่วย 42 กำลังติดตามกิจกรรมดังกล่าวในรูปแบบ CL-STA-1132 ซึ่งเป็นคลัสเตอร์ที่ได้รับการสนับสนุนจากรัฐ แคมเปญนี้แสดงให้เห็นว่าเหตุใดบริการไฟร์วอลล์ที่ถูกเปิดเผยจึงจำเป็นต้องได้รับการดูแลฉุกเฉิน แม้ว่าการใช้ประโยชน์จะดูเหมือนตกเป็นเป้าหมายก็ตาม

สิ่งที่ CVE-2026-0300 อนุญาตให้ผู้โจมตีทำได้

CVE-2026-0300 เป็นช่องโหว่บัฟเฟอร์ล้นในพอร์ทัลการตรวจสอบสิทธิ์ User-ID PAN-OS Palo Alto Networks ให้คะแนนความสำคัญด้วยคะแนน CVSS 4.0 ที่ 9.3

จุดบกพร่องไม่จำเป็นต้องมีการตรวจสอบสิทธิ์และไม่มีการโต้ตอบกับผู้ใช้ หากสามารถเข้าถึงพอร์ทัลที่ได้รับผลกระทบได้จากอินเทอร์เน็ตหรือเครือข่ายที่ไม่น่าเชื่อถือ ผู้โจมตีสามารถพยายามเรียกใช้โค้ดจากระยะไกลกับไฟร์วอลล์ได้โดยตรง

การแสวงหาผลประโยชน์ที่ประสบความสำเร็จทำให้ผู้โจมตีมีสิทธิ์รูท ซึ่งสามารถอนุญาตให้รันคำสั่ง จัดการไฟล์ ซ่อนกิจกรรม ปรับใช้เครื่องมือ และใช้ไฟร์วอลล์เป็นจุดหมุนในเครือข่ายภายใน

ได้อย่างรวดเร็ว

ช่องโหว่นี้ใช้กับไฟร์วอลล์ PA-Series และ VM-Series ที่กำหนดค่าให้ใช้ User-ID Authentication Portal เท่านั้น การเปิดเผยขึ้นอยู่กับการกำหนดค่า ไม่ใช่เฉพาะเวอร์ชัน PAN-OS ที่ติดตั้งไว้เท่านั้น

Palo Alto Networks กล่าวว่าลูกค้าจะได้รับผลกระทบเมื่อมีการเปิดใช้งานพอร์ทัลและหน้าการตอบกลับถูกเปิดใช้งานบนอินเทอร์เฟซภายนอกหรือที่เข้าถึงอินเทอร์เน็ตได้ Prisma Access, Cloud NGFW และ Panorama จะไม่ได้รับผลกระทบ

ความเสี่ยงจะสูงสุดเมื่อเข้าถึงพอร์ทัลได้จากอินเทอร์เน็ตสาธารณะหรือเครือข่ายอื่นที่ไม่น่าเชื่อถือ การจำกัดการเข้าถึงโซนภายในที่เชื่อถือได้จะช่วยลดพื้นที่การโจมตีได้อย่างมาก

การเผยแพร่ PAN-OS และกำหนดการแก้ไขที่ได้รับผลกระทบ

การโจมตีคลี่คลายอย่างไร

หน่วยที่ 42 บอกว่าการแสวงหาผลประโยชน์ไม่ประสบผลสำเร็จความพยายามเริ่มขึ้นในวันที่ 9 เมษายน 2026 ประมาณหนึ่งสัปดาห์ต่อมา ผู้โจมตีประสบความสำเร็จในการเรียกใช้โค้ดจากระยะไกลบนอุปกรณ์ PAN-OS และแทรกเชลล์โค้ดเข้าไปในกระบวนการของผู้ปฏิบัติงาน nginx

หลังจากการประนีประนอม ผู้โจมตีได้ลบข้อความเคอร์เนลที่ขัดข้อง รายการข้อขัดข้องของ nginx บันทึกข้อขัดข้อง และไฟล์ core dump การทำความสะอาดดังกล่าวแสดงให้เห็นว่าผู้ปฏิบัติงานเข้าใจอุปกรณ์เป็นอย่างดี และต้องการทำให้การตรวจสอบทางนิติวิทยาศาสตร์ยากขึ้น

สี่วันหลังจากการประนีประนอมครั้งแรก ผู้โจมตีได้ใช้เครื่องมือที่มีสิทธิ์ใช้งานรูทและระบุ Active Directory โดยใช้ข้อมูลรับรองบัญชีบริการที่อาจได้รับจากไฟร์วอลล์ พวกเขากำหนดเป้าหมายไปที่รูทโดเมนและ DomainDnsZones ในระหว่างระยะนี้

กิจกรรมวันที่ 29 เมษายน ขยายการประนีประนอม

เมื่อวันที่ 29 เมษายน 2026 ผู้โจมตีใช้ SAML Flood กับอุปกรณ์เป้าหมายแรก ส่งผลให้อุปกรณ์ตัวที่สองเปิดใช้งานและรับการกำหนดค่าการรับส่งข้อมูลผ่านอินเทอร์เน็ตแบบเดียวกัน

ผู้โจมตีประสบความสำเร็จในการเรียกใช้โค้ดจากระยะไกลบนอุปกรณ์ตัวที่สอง พวกเขาดาวน์โหลด EarthWorm และ ReverseSocks5 ซึ่งเป็นเครื่องมืออุโมงค์สาธารณะสองตัวที่สามารถช่วยกำหนดเส้นทางการรับส่งข้อมูลผ่านระบบที่ถูกบุกรุก

ขั้นตอนนี้แสดงให้เห็นว่าการประนีประนอมของไฟร์วอลล์สามารถเปลี่ยนเป็นปัญหาการเข้าถึงเครือข่ายในวงกว้างได้อย่างไร เมื่อผู้โจมตีสร้างอุโมงค์จากอุปกรณ์ Edge พวกเขาสามารถใช้ตำแหน่งนั้นเพื่อเข้าถึงระบบภายในได้เงียบยิ่งขึ้น

ผู้โจมตีอาศัยเครื่องมือโอเพ่นซอร์สแทนมัลแวร์ที่กำหนดเอง ตัวเลือกนี้สามารถลดการตรวจจับตามลายเซ็นได้เนื่องจากเครื่องมือเดียวกันอาจปรากฏในบริบทการดูแลระบบหรือการทดสอบที่ถูกต้องตามกฎหมาย

EarthWorm รองรับการใช้พร็อกซี SOCKS5, Reverse Tunnels, การส่งต่อพอร์ต และเส้นทางเครือข่ายแบบลูกโซ่ หน่วยที่ 42 กล่าวว่าได้ปรากฏในกิจกรรมที่เกี่ยวข้องกับกลุ่มภัยคุกคามอื่นๆ รวมถึงโวลต์ไต้ฝุ่นและ APT41

ReverseSocks5 ทำงานโดยการสร้างการเชื่อมต่อขาออกจากระบบที่ถูกบุกรุกไปยังคอนโทรลเลอร์ที่ผู้โจมตีควบคุม เมื่อเชื่อมต่อแล้ว จะสามารถกำหนดเส้นทางการรับส่งข้อมูลไปยังเครือข่ายภายในของเป้าหมายผ่านช่องทางพร็อกซี SOCKS5

• ตรวจสอบว่าพอร์ทัลการตรวจสอบสิทธิ์ User-ID ถูกเปิดใช้งานหรือไม่
• ยืนยันว่าหน้าตอบกลับเปิดใช้งานบนอินเทอร์เฟซเลเยอร์ 3 ภายนอกหรือที่เข้าถึงอินเทอร์เน็ตได้
• จำกัดการเข้าถึงพอร์ทัลการตรวจสอบสิทธิ์ User-ID เฉพาะโซนภายในที่เชื่อถือได้เท่านั้น
• ปิดการใช้งานหน้าการตอบสนองบนอินเทอร์เฟซที่สามารถรับปริมาณการใช้งานที่ไม่น่าเชื่อถือหรือผ่านอินเทอร์เน็ต
• ปิดใช้งานพอร์ทัลการตรวจสอบสิทธิ์ User-ID ทั้งหมดหากองค์กรไม่ต้องการ
• เปิดใช้งาน Threat ID 510019 หากองค์กรมี Advanced Threat Prevention และใช้งาน PAN-OS 11.1 หรือใหม่กว่า
• เตรียมติดตั้ง PAN-OS รุ่นคงที่ทันทีที่มีการอัปเดตสาขาที่เกี่ยวข้อง
• ตรวจสอบอุปกรณ์ที่ถูกเปิดเผยสำหรับการแทรกเชลล์โค้ด เครื่องมือทันเนล บันทึกที่ถูกลบ และกิจกรรม Active Directory ที่ผิดปกติ

ตัวชี้วัดของการประนีประนอม

สิ่งที่กองหลังควรสอบสวน

องค์กรที่มีพอร์ทัลการรับรองความถูกต้องที่เปิดเผยไม่ควรหยุดที่การลดปัญหา เนื่องจากการโจมตีเริ่มขึ้นก่อนการเปิดเผยต่อสาธารณะ ทีมรักษาความปลอดภัยควรตรวจสอบว่ามีการสัมผัสอุปกรณ์ที่ได้รับผลกระทบแล้วหรือไม่

สัญญาณสำคัญ ได้แก่ บันทึกที่หายไป การล้างข้อขัดข้องที่ไม่คาดคิด ไฟล์ใหม่หรือไฟล์ที่ไม่รู้จักในพาธชั่วคราว การเชื่อมต่อขาออกที่ผิดปกติ กิจกรรมพร็อกซี SOCKS ที่ไม่รู้จัก และการแจงนับ Active Directory จากบัญชีที่เกี่ยวข้องกับไฟร์วอลล์

ผู้ปกป้องควรหมุนเวียนข้อมูลรับรองที่ไฟร์วอลล์ใช้หรือจัดเก็บหากการบุกรุกยังคงเป็นไปได้ หากผู้โจมตีได้รับข้อมูลรับรองบัญชีบริการ พวกเขาอาจยังคงเข้าถึงได้แม้ว่าการเปลี่ยนแปลงการเปิดเผยพอร์ทัลก็ตาม

เหตุใดอุปกรณ์ Edge ยังคงเป็นเป้าหมายที่น่าสนใจ

ไฟร์วอลล์, VPN, เราเตอร์ และระบบ Edge อื่นๆ อยู่ในตำแหน่งที่มีคุณค่า พวกเขาต้องเผชิญกับอินเทอร์เน็ต ประมวลผลการรับส่งข้อมูลที่เชื่อถือได้ และมักจะขาดความครอบคลุมการตรวจจับจุดสิ้นสุดแบบเดียวกับที่พบในเวิร์กสเตชันและเซิร์ฟเวอร์ปกติ

นั่นทำให้พวกเขามีประโยชน์สำหรับการเข้าถึงแบบซ่อนตัว ผู้โจมตีสามารถนำไปใช้ในทางที่ผิดเพื่อการขุดอุโมงค์ การรวบรวมข้อมูลรับรอง การเคลื่อนไหวด้านข้าง และการสกัดกั้นการรับส่งข้อมูล

CVE-2026-0300 เหมาะกับรูปแบบที่กว้างขึ้นนี้ช่องโหว่นี้ทำให้ผู้โจมตีเข้าถึงรูทบนอุปกรณ์รักษาความปลอดภัยได้ และแคมเปญที่สังเกตได้แสดงให้เห็นว่าการเข้าถึงดังกล่าวสามารถย้ายจากการแสวงหาประโยชน์ไปสู่การค้นพบภายในได้เร็วเพียงใด

คำถามที่พบบ่อย