Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-0300CriticalCVSS: 9.3

Kritische Sicherheitslücke in Palo Alto Networks PAN-OS User-ID™ Authentication Portal (CVE-2026-0300)

Eine kritische Pufferüberlauf-Schwachstelle im User-ID™ Authentication Portal (Captive Portal) von Palo Alto Networks PAN-OS ermöglicht nicht authentifizierten Angreifern die Ausführung von beliebigem Code mit Root-Rechten auf PA-Series und VM-Series Firewalls. Die Schwachstelle wird aktiv ausgenutzt und betrifft nur Systeme mit aktiviertem Authentication Portal.

METADATEN

Entdeckt:
06.05.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •Palo Alto Networks PAN-OS 10.2 < 10.2.7-h34
  • •< 10.2.10-h36
  • •< 10.2.13-h21
  • •< 10.2.16-h7
  • •< 10.2.18-h6
  • •Palo Alto Networks PAN-OS 11.1 < 11.1.4-h33
  • •< 11.1.6-h32
  • •< 11.1.7-h6
  • •< 11.1.10-h25
  • •< 11.1.13-h5
  • •< 11.1.15
  • •Palo Alto Networks PAN-OS 11.2 < 11.2.4-h17
  • •< 11.2.7-h13
  • •< 11.2.10-h6
  • •< 11.2.12
  • •Palo Alto Networks PAN-OS 12.1 < 12.1.4-h5
  • •< 12.1.7

Zusammenfassung

CVE-2026-0300 beschreibt eine kritische Sicherheitslücke im User-ID™ Authentication Portal (Captive Portal) von Palo Alto Networks PAN-OS. Ein nicht authentifizierter Angreifer kann durch das Senden speziell präparierter Netzwerkpakete einen Pufferüberlauf auslösen und beliebigen Code mit Root-Privilegien auf betroffenen PA-Series und VM-Series Firewalls ausführen. Der CVSS-Score beträgt 9.3 (Critical). Palo Alto Networks bestätigt, dass eingeschränkte Ausnutzung dieser Schwachstelle in freier Wildbahn beobachtet wurde.

Technische Details

Bei der Schwachstelle handelt es sich um einen Out-of-Bounds Write (CWE-787) im User-ID™ Authentication Portal Dienst. Ein Angreifer kann diese Schwachstelle über das Netzwerk ausnutzen, ohne dass eine Authentifizierung oder Benutzerinteraktion erforderlich ist. Die Angriffskomplexität ist gering und die Ausnutzung gilt als automatisierbar. Im Erfolgsfall kann der Angreifer die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig kompromittieren.

Betroffene Systeme

Ausschließlich PA-Series und VM-Series Firewalls mit aktiviertem User-ID™ Authentication Portal sind verwundbar. Die folgenden PAN-OS Versionen sind betroffen:

  • PAN-OS 10.2: < 10.2.7-h34, < 10.2.10-h36, < 10.2.13-h21, < 10.2.16-h7, < 10.2.18-h6
  • PAN-OS 11.1: < 11.1.4-h33, < 11.1.6-h32, < 11.1.7-h6, < 11.1.10-h25, < 11.1.13-h5, < 11.1.15
  • PAN-OS 11.2: < 11.2.4-h17, < 11.2.7-h13, < 11.2.10-h6, < 11.2.12
  • PAN-OS 12.1: < 12.1.4-h5, < 12.1.7

Nicht betroffen sind Prisma Access, Cloud NGFW und Panorama Appliances.

Empfehlungen und Maßnahmen

  1. Sofortmaßnahme: Beschränken Sie den Zugriff auf das User-ID™ Authentication Portal ausschließlich auf vertrauenswürdige interne IP-Adressen und vermeiden Sie die Exposition gegenüber dem Internet.
  2. Patch einspielen: Führen Sie ein Upgrade auf eine der folgenden behobenen Versionen durch:
    • PAN-OS 12.1: ≥ 12.1.4-h5 oder ≥ 12.1.7
    • PAN-OS 11.2: ≥ 11.2.4-h17, ≥ 11.2.7-h13, ≥ 11.2.10-h6 oder ≥ 11.2.12
    • PAN-OS 11.1: ≥ 11.1.4-h33, ≥ 11.1.6-h32, ≥ 11.1.7-h6, ≥ 11.1.10-h25, ≥ 11.1.13-h5 oder ≥ 11.1.15
    • PAN-OS 10.2: ≥ 10.2.7-h34, ≥ 10.2.10-h36, ≥ 10.2.13-h21, ≥ 10.2.16-h7 oder ≥ 10.2.18-h6
  3. Deaktivierung: Falls das User-ID™ Authentication Portal nicht benötigt wird, deaktivieren Sie es vollständig.
  4. Threat Prevention: Kunden mit einem Threat Prevention Abonnement können Angriffe durch Aktivierung von Threat ID 510019 (Applications and Threats Content Version 9097-10022) blockieren.
  5. Deaktivieren von Response Pages: Entfernen Sie Response Pages aus den Interface Management Profilen auf L3-Schnittstellen in nicht vertrauenswürdigen Zonen.

Quellen

REFERENZEN