パロアルトネットワークスは本日、PAN-OS User-ID Authentication Portalに存在するパッチ未適用の重大な脆弱性が攻撃に悪用されているとして、顧客に警告を発しました。
Captive Portalとしても知られるUser-ID Authentication Portalは、PAN-OSのセキュリティ機能であり、ファイアウォールによってIDが自動的にマッピングされないユーザーを認証します。
CVE-2026-0300 として追跡されているこのゼロデイバグは、バッファオーバーフローの脆弱性に起因しており、インターネット上に公開された PA シリーズおよび VM シリーズファイアウォールにおいて、認証されていない攻撃者が特別に細工されたパケットを経由して root 権限で任意のコードを実行することを可能にします。
「パロアルトネットワークスは、水曜日のアドバイザリで「信頼できないIPアドレスおよび/またはパブリックインターネットに公開されているパロアルトネットワークスのUser-ID™認証ポータルを標的とした限定的な悪用が確認されています。
「機密性の高いポータルを信頼できる内部ネットワークに制限するなど、標準的なセキュリティのベストプラクティスに従っている顧客は、リスクを大幅に軽減できます。
現在、インターネット脅威の監視機関であるShadowserverは、オンラインで公開されている5,800台以上のPAN-OS VMシリーズ・ファイアウォールを追跡しており、そのほとんどはアジア（2,466台）と北米（1,998台）である。
同社はまた、この脆弱性を可能な限り高い深刻度としてフラグを立てており、管理者は、「デバイス」→「ユーザー識別」→「認証ポータル設定」→「認証ポータルを有効にする」にある「ユーザーID認証ポータル設定」ページから、ファイアウォールが脆弱なサービスを使用するように設定されているかどうかをすぐに確認できるとしている。
パロアルトネットワークスでは、このゼロデイへの対応に取り組んでおり、パッチが提供されるまでは、信頼済みゾーンのみにアクセスを制限するか、それが不可能な場合はポータルを無効にすることで、User-ID認証ポータルを保護することを「強く」推奨している。
PAN-OSファイアウォールは、しばしばゼロデイセキュリティ脆弱性を悪用した攻撃の標的となっている。例えば、2024年11月、Shadowserverは、2つのPAN-OSファイアウォールのゼロデイを連鎖させた攻撃で、何千ものファイアウォールが侵害されたことを明らかにしました（同社は、攻撃が影響を与えたのは「ごく少数」だと述べています）。
その1カ月後、Palo Alto Networksは、ハッカーが別のPAN-OS DoSの欠陥を悪用してPA-Series、VM-Series、およびCN-Seriesファイアウォールを標的にしており、ファイアウォール保護を強制的に再起動して無効化していると警告しました。その直後の2月、攻撃者は他の3つのPAN-OSの欠陥を悪用し、インターネットに面した管理インターフェイスを持つPalo Alto Networksのファイアウォールを侵害するように切り替えました。
パロアルトネットワークスによると、同社の製品およびサービスは、フォーチュン10社の90％、米国の大手銀行の大半を含む、世界中の7万以上の顧客に利用されているという。
更新 5月06日11時45分（米国東部時間）：記事掲載後、パロアルトネットワークスは以下の声明を発表した。
「この脆弱性は、User-ID認証ポータル（Captive Portal）が公衆インターネットまたは信頼できないIPアドレスに公開されている限られた顧客に特有のものです。この問題の限定的な悪用を確認しており、ソフトウェア修正プログラムのリリースに取り組んでいます。
「我々は、顧客に対して、直ちに顧客の環境を保護するための明確な緩和策を提供している。この問題はCloud NGFWやPanoramaアプライアンスには影響しません。私たちは、私たちのグローバルな顧客ベースを保護するために、透明性のあるセキュリティ第一のアプローチに引き続き取り組んでいきます。
.article-callout { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; overflow: hidden; } .article-media { flex: 1; max-width: 220px; display: flex; } .article-media a { display: flex; width: 100%; height: 100%; } .article-media img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; display: block; } .article-callout .article-media img { margin-top: 0 !important; height: 100% !important; } .article-body { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .article-body h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .article-body p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .article-link { background-color：#border：color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; padding：10px 20px; width: fit-content; } @media (max-width: 600px) { .article-callout { flex-direction: column; align-items: center; } .article-media { max-width: 100%; } .article-media img { border-radius: 8px 8px 0 0; } .article-body { padding：.article-body { padding: 15px; width: 100%; } .article-link { width: 100%; margin: 0 auto; box-sizing: border-box; } } .
Mythosが発見した問題の99%はまだ未パッチである。
AIは4つのゼロデイを1つのエクスプロイトに連鎖させ、レンダラーとOSのサンドボックスの両方をバイパスした。新たなエクスプロイトの波が押し寄せている。
自律的検証サミット（5月12日、14日）では、自律的でコンテキストに富んだ検証がどのように悪用可能なものを見つけ、コントロールが有効であることを証明し、修復のループを閉じるかをご覧ください。
Comments