Alerta de Vulnerabilidade - Palo Alto Networks PAN-OS

Vulnerabilidade crítica, identificada como CVE-2026-0300/EUVD-2026-27879, de buffer overflow (CWE-787) no serviço User-ID Authentication Portal (Captive Portal) do software PAN-OS da Palo Alto Networks [1][2].

Esta vulnerabilidade pode permitir a execução remota de código arbitrário com privilégios root através do envio de pacotes especialmente manipulados [1].

A vulnerabilidade afeta dispositivos PA-Series e VM-Series que tenham o serviço User-ID Authentication Portal ativo e acessível a partir de redes não confiáveis ou da Internet [1][2].

As seguintes versões encontram-se afetadas [3]:

• PAN-OS 12.1 - versões anteriores a 12.1.4-h5 e 12.1.7;
• PAN-OS 11.2 - versões anteriores a 11.2.4-h17, 11.2.7-h13, 11.2.10-h6 e 11.2.12;
• PAN-OS 11.1 - versões anteriores a 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 e 11.1.15;
• PAN-OS 10.2 - versões anteriores a 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 e 10.2.18-h6.

Os produtos Prisma Access, Cloud NGFW e Panorama não são afetados por esta vulnerabilidade [3].
A exploração bem-sucedida da vulnerabilidade pode permitir que um atacante não autenticado execute código arbitrário com privilégios root nos dispositivos afetados [3].

Segundo o fabricante, já foram observados casos de exploração ativa desta vulnerabilidade em equipamentos expostos diretamente à Internet [3].

Um atacante poderá explorar esta vulnerabilidade através do envio de pacotes especialmente manipulados para o serviço User-ID Authentication Portal, podendo resultar em [3]:

• Comprometimento total do equipamento afetado;
• Execução remota de código;
• Escalada de privilégios para nível root;
• Interrupção de serviços;
• Comprometimento da confidencialidade, integridade e disponibilidade da infraestrutura de rede.

A Palo Alto Networks disponibilizou atualizações de segurança que corrigem esta vulnerabilidade. Recomenda-se a atualização imediata do PAN-OS para as versões corrigidas indicadas no aviso oficial do fabricante [3]

Enquanto não for possível aplicar as atualizações de segurança, devem ser implementadas as seguintes medidas de mitigação [3]:

• Restringir o acesso ao User-ID Authentication Portal apenas a redes internas confiáveis;
• Bloquear o acesso ao serviço a partir da Internet;
• Desativar o User-ID Authentication Portal caso não seja estritamente necessário;
• Rever regras de firewall e listas de controlo de acesso (ACLs);
• Monitorizar eventos e registos associados ao serviço para deteção de atividades suspeitas;
• Garantir que interfaces de administração e autenticação não se encontram expostas publicamente.

Adicionalmente, recomenda-se a monitorização reforçada de dispositivos expostos a redes não confiáveis ou à Internet.

[1] - https://nvd.nist.gov/vuln/detail/CVE-2026-0300
[2] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-0300
[3] - https://security.paloaltonetworks.com/CVE-2026-0300