Przepełnienie bufora w portalu logowania User-ID w PAN-OS pozwala bez hasła przejąć zaporę z uprawnieniami roota. CISA potwierdza ataki. Zaktualizuj PAN-OS lub odetnij portal od internetu dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią sieć zaporami Palo Alto Networks serii PA lub VM. Werdykt: jeśli na zaporze działa User-ID Authentication Portal (dawniej Captive Portal) dostępny z internetu lub z niezaufanej sieci, a PAN-OS nie ma poprawki, zaktualizuj zaporę lub ogranicz dostęp do portalu dziś, bo luka pozwala bez hasła przejąć urządzenie z uprawnieniami roota.
Amerykańska agencja CISA 6 maja 2026 roku dopisała CVE-2026-0300 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd to przepełnienie bufora (zapis poza granicami pamięci) w usłudze User-ID Authentication Portal systemu PAN-OS. Napastnik bez konta, wysyłając spreparowane pakiety, może wykonać dowolny kod z najwyższymi uprawnieniami (root) na zaporze.
CISA dała agencjom federalnym tylko 3 dni, do 9 maja 2026 roku, bo w chwili wpisu poprawek jeszcze nie było i nakazała obejście konfiguracyjne. 13 maja 2026 roku agencja dopisała, że producent wydał poprawki i należy je wgrać.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-0300 |
Data dodania do CISA KEV | 2026-05-06 |
Termin naprawy wg CISA | 2026-05-09 (3 dni od wpisu; dotyczył obejścia, poprawki wydano później) |
Produkt | Palo Alto Networks PAN-OS na zaporach serii PA i VM, usługa User-ID Authentication Portal. CISA wskazała też jako dotknięte urządzenia Siemens RUGGEDCOM APE1808 (wszystkie wersje) |
Wersje zagrożone | PAN-OS 12.1 poniżej 12.1.7, 11.2 poniżej 11.2.12, 11.1 poniżej 11.1.15, 10.2 poniżej 10.2.18-h6 (z wyjątkiem podlinii z poprawką), ale tylko gdy jednocześnie: włączony Authentication Portal (tryb przezroczysty lub przekierowujący) oraz profil zarządzania interfejsem z włączonymi stronami odpowiedzi podpięty do interfejsu L3 w strefie z ruchem niezaufanym lub z internetu. Cloud NGFW, Prisma Access i Panorama nie są podatne |
Wersje bezpieczne | 12.1: 12.1.4-h5, 12.1.7 i nowsze. 11.2: 11.2.4-h17, 11.2.7-h13, 11.2.10-h6, 11.2.12 i nowsze. 11.1: 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5, 11.1.15 i nowsze. 10.2: 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7, 10.2.18-h6 i nowsze. Starsze, niewspierane wersje: przejście na wspieraną wersję z poprawką |
Typ podatności | Przepełnienie bufora, zapis poza granicami pamięci; CWE-787 |
Ocena CVSS | Producent: 9.3 KRYTYCZNA (CVSS 4.0), przy portalu dostępnym tylko z sieci sąsiedniej 8.7 WYSOKA. NVD: 9.8 KRYTYCZNA (CVSS 3.1). CISA dla Siemens RUGGEDCOM APE1808: 10.0 (CVSS 3.1, zmieniony zakres). Atak przez sieć, bez logowania, bez udziału użytkownika |
Wyobraź sobie recepcję biurowca, gdzie goście wpisują się do zeszytu, a zeszyt ma kratki o stałej szerokości. Recepcjonista nie sprawdza, czy wpis się mieści. Ktoś pisze tak długi tekst, że wychodzi poza kratkę i nadpisuje instrukcję dla ochrony zapisaną na następnej stronie: „wpuść posiadacza tego wpisu do serwerowni”. Ochrona czyta instrukcję i wykonuje ją.
Tak działa przepełnienie bufora. Portal logowania na zaporze przyjmuje dane o ustalonym rozmiarze i nie sprawdzał ich długości. Nadmiar nadpisuje pamięć, a dobrze przygotowany pakiet sprawia, że zapora wykonuje kod napastnika. Ponieważ usługa działa z uprawnieniami roota, napastnik przejmuje całe urządzenie, które decyduje o ruchu w firmie.
💡 Bufor to wydzielony fragment pamięci na przychodzące dane. Root to konto z pełnymi uprawnieniami w systemie. Authentication Portal (Captive Portal) to strona logowania, którą zapora pokazuje użytkownikowi, by wiedzieć, czyj jest ruch. Strony odpowiedzi (response pages) to komunikaty wyświetlane przez zaporę w przeglądarce. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera przeglądarkę | Zapora pokazuje portal logowania i przypisuje ruch do osoby | Tak samo, nic nie zauważa |
Obca osoba z internetu wysyła dane do portalu | Portal odrzuca błędne dane | Spreparowane pakiety nadpisują pamięć i uruchamiają kod |
Konfiguracja zapory | Zmienia ją tylko administrator | Napastnik z uprawnieniami roota może zmienić reguły |
Ruch sieciowy firmy | Kontrolowany według polityki | Napastnik może go podglądać lub przekierowywać |
Ślady w logach | Rejestrują działania administratorów | Napastnik z pełnymi uprawnieniami może je usuwać |
źródło: Pexels, Nandhu KumarPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Producent pisze, że obserwowane ataki były wymierzone w portale wystawione na niezaufane adresy lub publiczny internet, a atak jest możliwy do zautomatyzowania. Portal dostępny tylko z sieci wewnętrznej znacząco zmniejsza ryzyko.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie internetu w poszukiwaniu portali logowania zapór Palo Alto | Lista urządzeń z wystawionym portalem |
2. Atak na portal | T+kilka minut | Wysłanie spreparowanych pakietów do usługi Authentication Portal | Wykonanie kodu z uprawnieniami roota na zaporze |
3. Utrwalenie | T+do godziny | Instalacja ukrytego dostępu, zmiana konfiguracji, usuwanie śladów | Stała kontrola nad zaporą |
4. Wejście do sieci | T+godziny do dni | Wykorzystanie zapory jako punktu przejścia do sieci wewnętrznej, przechwytywanie danych logowania | Dostęp do serwerów i kont |
5. Kradzież lub sabotaż | T+dni do tygodni | Kopiowanie danych, przygotowanie szyfrowania lub zakłócenia pracy | Wyciek danych, przestój |
Zapora to urządzenie, któremu powierzasz decyzję, co wpuścić do firmy. Przejęcie jej z uprawnieniami roota oznacza utratę kontroli nad całym ruchem sieciowym. Nie ma dostępnych publicznie wskaźników włamania, więc wykrycie ataku po fakcie jest trudne.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie lub przekonfigurowanie zapory, przerwa w dostępie do internetu i VPN, konieczność odbudowy urządzenia | Godziny do dni | 30 tys. do 300 tys. PLN (przestój, odbudowa konfiguracji) |
Bezpieczeństwo danych | Podsłuch ruchu, przechwycone hasła, wyciek danych z sieci wewnętrznej | Dni | 40 tys. do 250 tys. PLN (analiza powłamaniowa, wymiana haseł i certyfikatów) |
Finansowy | Koszty reakcji na incydent, możliwe żądanie okupu, utracone zamówienia | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania od ubezpieczyciela | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; dla podmiotów objętych przepisami o cyberbezpieczeństwie także zgłoszenie incydentu | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: PAN-OS bez poprawki, portal dostępny z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . ● . . ● portal tylko w sieci wewnętrznej
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy portalu wystawionym do internetu ryzyko jest krytyczne (przejęcie zapory bez hasła, potwierdzone ataki), natomiast przy portalu dostępnym tylko z zaufanej sieci wewnętrznej producent ocenia je jako znacznie niższe, choć aktualizacja nadal jest konieczna.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję PAN-OS na wszystkich zaporach serii PA i VM oraz na urządzeniach Siemens RUGGEDCOM APE1808 | Dziś | Administrator zapory |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy włączony jest Authentication Portal i czy strony odpowiedzi są aktywne na interfejsach od strony internetu lub niezaufanych stref | Dziś | Administrator zapory |
3 | 🔴 NATYCHMIAST | Jeśli tak i nie ma poprawki: wyłączyć portal albo ograniczyć go do zaufanych stref i wyłączyć strony odpowiedzi na interfejsach niezaufanych | Dziś | Administrator zapory |
4 | 🟠 PILNIE | Wgrać wersję PAN-OS z poprawką właściwą dla swojej podlinii (np. 11.1.6 na 11.1.6-h32) | Do 3 dni | Administrator zapory / partner IT |
5 | 🟠 PILNIE | Przejrzeć konfigurację, konta administratorów i logi zapory od 5 maja 2026 roku pod kątem niewyjaśnionych zmian | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Wprowadzić stałą zasadę: portale i panele zapory niedostępne z internetu | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Zapewnić przechowywanie logów zapory poza samym urządzeniem | Do 30 dni | CTO / administrator |
Producent wydał poprawki dla wszystkich wspieranych gałęzi PAN-OS, więc docelowo trzeba je wgrać. Do czasu okna serwisowego producent wskazuje obejścia. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie User-ID Authentication Portal, jeśli nie jest potrzebny (zalecenie producenta i CISA) | Wysoka: usuwa podatną usługę | Łatwa, ale traci się identyfikację użytkowników przez portal |
Dostęp do portalu tylko ze stref zaufanych i wyłączenie stron odpowiedzi na interfejsach L3 w strefach niezaufanych (zalecenie producenta) | Wysoka wobec ataków z internetu | Średnia: wymaga zmian na każdym interfejsie |
Sygnatura Threat Prevention o identyfikatorze 510019 (treści Applications and Threats 9097-10022), tylko PAN-OS 11.1 i nowsze z subskrypcją | Średnia do wysokiej, zależnie od poprawnej konfiguracji | Łatwa dla posiadaczy subskrypcji; niedostępna na gałęzi 10.2 |
Codzienny przegląd logów i konfiguracji zapory | Niska jako ochrona, pomocna w wykryciu włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Portal logowania | Widoczny z internetu, podatny na przejęcie urządzenia | Wyłączony lub dostępny tylko wewnątrz, oprogramowanie z poprawką |
Kontrola nad zaporą | Możliwe przejęcie bez hasła z uprawnieniami roota | Tylko uprawnieni administratorzy |
Wiedza o incydencie | Brak przeglądu logów i konfiguracji | Przejrzana konfiguracja i logi od maja 2026 roku |
Zasady ekspozycji | Panele i portale dostępne dla każdego | Stała zasada: brak paneli od strony internetu |
Zgodność z terminem CISA | Ponad 4 miesiące zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Producent opisuje ograniczone wykorzystanie wymierzone w portale wystawione na niezaufane adresy lub do internetu |
Grupy przestępcze | Brak publicznych informacji; atrybucji ataków nie podano |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.3 KRYTYCZNA wg producenta (CVSS 4.0); 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 10.0 wg CISA dla Siemens RUGGEDCOM APE1808 |
PoC dostępny publicznie? | Brak publicznych informacji; producent nie opublikował szczegółów technicznych |
Liczba atakowanych firm | Brak publicznych informacji; producent mówi o ograniczonym wykorzystaniu |
Wskaźniki włamania | Nie opublikowano |
Kto wykrył błąd | Zespół badawczy producenta przy wsparciu Unit 42 i Xpanse; producent podaje, że luka została odkryta podczas użytkowania produkcyjnego |
Sygnały zagrożenia dla CVE-2026-0300
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (producent) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~32% ██████░░░░░░░░░░░░░░ wyżej niż 98% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-05-05 Producent publikuje biuletyn CVE-2026-0300 z obejściami
2026-05-06 Rekord CVE w NVD; CISA dodaje lukę do katalogu KEV;
CERT Polska wydaje komunikat 58/2026
2026-05-09 Termin wg CISA (obejście: ograniczenie lub wyłączenie portalu)
2026-05-13 CISA dopisuje: producent wydał poprawki, należy je wgrać
2026-05-19 CISA wydaje doradztwo ICSA-26-139-02 (Siemens RUGGEDCOM APE1808)
2026-05-28 Ostatnia aktualizacja biuletynu producenta (terminy wydań)
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z wersjami i obejściami: security.paloaltonetworks.com/CVE-2026-0300 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-0300 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma ma zapory Palo Alto serii PA lub VM (także zarządzane przez partnera IT) albo urządzenia Siemens RUGGEDCOM APE1808 | CTO | DZISIAJ |
2 | Uzyskać pisemną informację: wersja PAN-OS i czy Authentication Portal jest dostępny z internetu | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie lub ograniczenie portalu do czasu aktualizacji | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację zapór | CTO | DO JUTRA |
5 | Zlecić przegląd konfiguracji i logów zapory od maja 2026 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa serwisowa i subskrypcje zapory są aktywne (dostęp do poprawek i sygnatur) | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na jakiej wersji i podlinii PAN-OS działają nasze zapory? | [wersja] | 🔴 |
2 | Czy User-ID Authentication Portal jest włączony? | TAK / NIE | 🔴 |
3 | Czy strony odpowiedzi są włączone na interfejsach od strony internetu lub niezaufanych stref? | TAK / NIE | 🔴 |
4 | Kiedy wgrano wersję z poprawką na CVE-2026-0300? | [data] | 🔴 |
5 | Czy przejrzano konfigurację, konta administratorów i logi zapory od 5 maja 2026 roku? | TAK / NIE, [data] | 🟠 |
6 | Czy mamy aktywną subskrypcję Threat Prevention i włączoną sygnaturę 510019? | TAK / NIE | 🟠 |
7 | Czy logi zapory są przechowywane poza urządzeniem i przez ile dni? | TAK / NIE, [liczba dni] | 🟡 |
CVE-2026-0300 pozwala bez hasła przejąć zaporę Palo Alto z uprawnieniami roota, gdy portal logowania User-ID jest dostępny z niezaufanej sieci. CISA potwierdza ataki, poprawki są dostępne od maja 2026 roku, więc sprawdzenie ekspozycji portalu i aktualizacja to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.