Błąd w PAN-OS pozwala bez logowania wywołać skrypty panelu zarządzania firewallem, a w łańcuchu z dwiema innymi lukami przejąć urządzenie. Kod ataku jest publiczny. Ogranicz dostęp do panelu i zaktualizuj PAN-OS.
Ten alert jest dla zarządu, CTO i CFO firm, których sieć chronią firewalle Palo Alto Networks z systemem PAN-OS. Werdykt: jeśli panel zarządzania firewallem jest osiągalny spoza sieci wewnętrznej, a PAN-OS nie ma wersji z poprawką, ogranicz dziś dostęp do panelu do zaufanych adresów wewnętrznych i zaktualizuj urządzenie, bo luka pozwala ominąć logowanie, kod ataku jest publiczny, a CISA potwierdza ataki.
Amerykańska agencja CISA 18 lutego 2025 roku dopisała podatność CVE-2025-0108 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w PAN-OS pozwala osobie z dostępem sieciowym do panelu zarządzania firewallem ominąć logowanie i wywołać wybrane skrypty PHP. Producent zaznacza, że samo to nie daje wykonania własnego kodu, ale narusza poufność i integralność systemu.
Palo Alto Networks potwierdziło, że napastnicy łączyli tę lukę z dwiema innymi, CVE-2024-9474 i CVE-2025-0111, na niezałatanych urządzeniach z panelem wystawionym bez osłony. Rekord CVE opublikowano 12 lutego 2025 roku razem z poprawkami, a termin CISA minął 11 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-0108 |
Data dodania do CISA KEV | 2025-02-18 |
Termin naprawy wg CISA | 2025-03-11 (21 dni od wpisu) |
Produkt | Palo Alto Networks PAN-OS, interfejs zarządzania w przeglądarce. Cloud NGFW i Prisma Access nie są podatne |
Wersje zagrożone | PAN-OS 10.1, 10.2, 11.1 i 11.2 sprzed wersji z poprawką oraz gałąź 11.0 po zakończeniu wsparcia (bez poprawki). Warunek: napastnik ma dostęp sieciowy do panelu zarządzania |
Wersje bezpieczne | 10.1.14-h9; 10.2.13-h3 (także 10.2.8-h21, 10.2.9-h21, 10.2.10-h14, 10.2.11-h12, 10.2.12-h6); 11.1.6-h1 (także 11.1.2-h18, 11.1.4-h13); 11.2.5 i nowsze (także 11.2.4-h4). Gałąź 11.0: brak poprawki, wymagana migracja |
Typ podatności | Obejście uwierzytelnienia, brak uwierzytelnienia dla funkcji krytycznej; CWE-306 |
Ocena CVSS | NVD: 9.1 (CVSS 3.1, KRYTYCZNA). Palo Alto Networks: 8.8 (CVSS 4.0, WYSOKA, pilność producenta: czerwona, dojrzałość ataku: atakowane). Atak przez sieć, bez logowania, bez udziału użytkownika |
Zdanie „u nas jest 10.2” nie wystarcza: w tej samej linii o podatności decyduje końcówka numeru z literą „h”.
Wyobraź sobie serwerownię, do której prowadzą drzwi z czytnikiem kart. Czytnik działa poprawnie, ale okazało się, że przez niewielką szczelinę obok drzwi da się sięgnąć do szafki z planami budynku i przełącznikami alarmu. Nie da się przez nią przejść w całości, ale można odczytać plany i przestawić kilka przełączników, a potem wejść już głównym wejściem.
Panel zarządzania firewallem to miejsce, z którego ustawia się, co wolno przepuścić między internetem a siecią firmy. Luka pozwalała ominąć ekran logowania i wywołać część skryptów panelu. Konfiguracja firewalla to mapa firmy: adresy sieci, reguły dostępu, ustawienia połączeń zdalnych. W połączeniu z dwiema innymi lukami napastnicy mogli dojść do pełnego przejęcia urządzenia.
💡 Firewall to urządzenie na styku sieci firmy z internetem, decydujące, jaki ruch przepuścić. Interfejs zarządzania to panel w przeglądarce do konfiguracji firewalla. Obejście uwierzytelnienia to dostęp do funkcji bez podania loginu i hasła. Łączenie luk (chaining) to użycie kilku błędów kolejno, żeby osiągnąć więcej niż każdym z osobna. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator loguje się do panelu | Loguje się kontem i hasłem | Tak samo |
Obca osoba z dostępem sieciowym do panelu | Widzi tylko ekran logowania | Wywołuje skrypty PHP bez logowania |
Konfiguracja firewalla | Dostępna tylko administratorom | Możliwy odczyt i ograniczona zmiana |
Połączenie z CVE-2024-9474 i CVE-2025-0111 | Brak skutku | Droga do przejęcia urządzenia |
Panel dostępny tylko z adresów wewnętrznych | Ochrona przed światem | Luka praktycznie nieosiągalna z internetu |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostępu sieciowego do panelu zarządzania, więc najbardziej narażone są firewalle z panelem wystawionym do internetu. CISA ocenia atak jako możliwy do zautomatyzowania, a w NVD podlinkowany jest publiczny kod ataku.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie paneli zarządzania PAN-OS w internecie | Lista celów |
2. Obejście logowania | T+kilka minut | Spreparowane żądanie z publicznego kodu ataku | Wywołanie skryptów PHP bez konta |
3. Odczyt konfiguracji | T+kilkanaście minut | Łączenie z CVE-2025-0111 (odczyt plików) | Mapa sieci firmy, reguły, ustawienia VPN |
4. Przejęcie urządzenia | T+kilkadziesiąt minut | Łączenie z CVE-2024-9474 (wstrzyknięcie poleceń) | Kontrola nad firewallem |
5. Wejście do sieci | T+godziny do tygodni | Zmiana reguł lub użycie danych VPN | Ruch napastnika wygląda jak legalna praca w sieci |
Mogę Ci jakoś pomóc?
Firewall jest strażnikiem całej sieci, a jego konfiguracja to plan budynku. Obejście logowania, publiczny kod ataku i łączenie z innymi lukami sprawiają, że niezałatany panel wystawiony do internetu jest łatwym celem automatów. Jednocześnie jedna prosta zmiana, czyli ograniczenie dostępu do panelu, usuwa większość ryzyka.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zmienione reguły firewalla, konieczność przeglądu i odtworzenia konfiguracji | Dni | 20 tys. do 150 tys. PLN (analiza, rekonfiguracja, przestój) |
Bezpieczeństwo danych | Wyciek konfiguracji i danych połączeń zdalnych, wejście do sieci | Godziny do tygodni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana haseł i certyfikatów) |
Finansowy | Koszty specjalistów, dalsze szkody po wejściu do sieci | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po incydencie wychodzącym od urządzenia bezpieczeństwa | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin, jeśli dojdzie do wycieku danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z PAN-OS bez poprawki
Wpływ
5 | . . . . .
4 | . . . . ■ ← ■ KRYTYCZNE (panel dostępny z internetu)
3 | . . . . .
2 | . ○ . . . ← ○ panel tylko z zaufanych adresów wewnętrznych
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy panelu dostępnym z internetu prawdopodobieństwo jest najwyższe (publiczny kod, atak automatyzowalny, EPSS ok. 0,98), a wpływ wysoki, bo sama luka nie daje wykonania kodu, ale w łańcuchu prowadzi do przejęcia firewalla; ograniczenie dostępu do panelu drastycznie obniża ryzyko.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, skąd dostępny jest panel zarządzania firewallem; ograniczyć go do zaufanych adresów wewnętrznych | Dziś | Administrator firewalla |
2 | 🔴 NATYCHMIAST | Odczytać pełny numer wersji PAN-OS (z końcówką „h”) i porównać z listą producenta | Dziś | Administrator firewalla |
3 | 🟠 PILNIE | Zaktualizować PAN-OS do wersji z poprawką dla swojej linii | Do 3 dni | Administrator / partner Palo Alto |
4 | 🟠 PILNIE | Do czasu aktualizacji włączyć sygnatury ochrony 510000 i 510001 (Applications and Threats 8943 lub nowsze) | Do 2 dni | Administrator firewalla |
5 | 🟠 PILNIE | Sprawdzić, czy zainstalowane są też poprawki na CVE-2024-9474 i CVE-2025-0111 | Do 3 dni | Administrator firewalla |
6 | 🟠 PILNIE | Przejrzeć logi panelu i historię zmian konfiguracji od lutego 2025 pod kątem nieznanych zmian | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Urządzenia na gałęzi 11.0 zmigrować na wspieraną wersję, a datę końca wsparcia każdego urządzenia wpisać do kalendarza | Do 30 dni | CTO |
Producent wydał poprawki dla wspieranych linii PAN-OS. Do czasu okna serwisowego wskazuje dwa środki; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do panelu zarządzania tylko z zaufanych adresów wewnętrznych (zalecenie producenta) | Wysoka: usuwa dostęp z internetu | Łatwa, administrator z domu łączy się przez VPN |
Sygnatury Threat Prevention 510000 i 510001, treść Applications and Threats 8943 lub nowsza (zalecenie producenta) | Średnia do wysokiej wobec znanego sposobu ataku | Łatwa przy aktywnej subskrypcji |
Przegląd historii zmian konfiguracji i kont administratorów | Niska jako ochrona, kluczowa do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Panel zarządzania | Dostępny z internetu | Tylko z zaufanych adresów wewnętrznych |
Wersja PAN-OS | Bez poprawki, „jakaś 10.2” | Pełny numer wersji z poprawką, potwierdzony zrzutem ekranu |
Powiązane luki | CVE-2024-9474 i CVE-2025-0111 niesprawdzone | Załatane |
Urządzenia po końcu wsparcia | W użyciu | Zaplanowana migracja |
Konfiguracja | Niesprawdzona | Przejrzana historia zmian |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Palo Alto Networks potwierdza próby łączenia z CVE-2024-9474 i CVE-2025-0111 |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown); powiązana CVE-2024-9474 ma w KEV oznaczenie Known |
Ocena CVSS | 9.1 KRYTYCZNA wg NVD (CVSS 3.1); 8.8 WYSOKA wg Palo Alto Networks (CVSS 4.0) |
PoC dostępny publicznie? | TAK, NVD podlinkowuje publiczne repozytorium z kodem ataku oraz analizę techniczną badaczy |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Adam Kues (Assetnote Security Research) i wewnętrzny zespół Palo Alto Networks |
Prognoza EPSS | Ok. 0,98, najwyższy promil znanych luk; CISA: atak automatyzowalny |
Różnica 9.1 i 8.8 wynika z dwóch wersji skali CVSS. Ważniejsze są oznaczenia producenta: „atakowane” i czerwona pilność.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-0108
CVSS 3.1 (NVD) 9.1/10 ██████████████████░░ KRYTYCZNA
CVSS 4.0 (Palo Alto) 8.8/10 ██████████████████░░ WYSOKA, pilność czerwona
EPSS (próba w 30 dni) ~98% ████████████████████ MAKSYMALNA
Publiczny kod ataku TAK ████████████████████ dostępny
CISA KEV TAK ████████████████████ po 6 dniach od publikacji 2024-11-18 CISA dodaje do KEV powiązaną CVE-2024-9474 (ransomware: Known)
2025-02-12 Palo Alto Networks publikuje biuletyn i poprawki, publikacja CVE-2025-0108
2025-02-18 CISA dodaje CVE-2025-0108 do katalogu KEV (6 dni po publikacji)
2025-02-20 CISA dodaje do KEV powiązaną CVE-2025-0111
2025-03-11 Termin naprawy wg CISA dla agencji federalnych
... ponad 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z listą wersji i obejściami: security.paloaltonetworks.com/CVE-2025-0108 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-0108 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać odpowiedź, czy panel zarządzania firewallem jest dostępny z internetu | CTO | DZISIAJ |
2 | Zatwierdzić ograniczenie dostępu do panelu do adresów wewnętrznych i VPN | CTO | DZISIAJ |
3 | Uzyskać pełny numer wersji PAN-OS ze zrzutem ekranu urządzenia | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację | CTO | DO JUTRA |
5 | Sprawdzić daty końca wsparcia wszystkich firewalli i budżet na wymianę | CFO | DO JUTRA |
6 | Sprawdzić, czy subskrypcja Threat Prevention jest aktywna | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Z jakich adresów można otworzyć panel zarządzania naszymi firewallami? | [adresy] | 🔴 |
2 | Jaki jest pełny numer wersji PAN-OS na każdym urządzeniu? | [wersja] | 🔴 |
3 | Czy zainstalowane są poprawki na CVE-2025-0108, CVE-2024-9474 i CVE-2025-0111? | TAK / NIE | 🔴 |
4 | Czy włączone są sygnatury 510000 i 510001? | TAK / NIE | 🟠 |
5 | Czy w historii zmian konfiguracji od lutego 2025 są zmiany, których nikt nie rozpoznaje? | TAK / NIE | 🟠 |
6 | Czy któreś urządzenie działa na gałęzi 11.0 lub innej bez wsparcia? | TAK / NIE | 🟠 |
7 | Kiedy kończy się wsparcie producenta dla każdego firewalla? | [data] | 🟡 |
CVE-2025-0108 w PAN-OS pozwala ominąć logowanie do panelu zarządzania firewallem, a w połączeniu z CVE-2024-9474 i CVE-2025-0111 prowadzi do przejęcia urządzenia. Kod ataku jest publiczny, a CISA potwierdza ataki, więc ograniczenie dostępu do panelu to zadanie na dziś, a aktualizacja do wersji z poprawką na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.