ridhinva/panos-captive-portal-rceScanner: CVE-2026-0300 PAN-OS User-ID Captive Portal Buffer Overflow RCE — Python-CLI zur Erkennung der aktiv ausgenutzten BOF-Sicherheitslücke in Palo-Alto-Firewalls (CISA KEV 2026-05-13)
Pufferüberlauf im User-ID-Authentifizierungsportal-Dienst (Captive Portal) von PAN-OS.
Ein nicht authentifizierter Angreifer kann auf betroffenen Palo-Alto-Networks-Firewalls Code als root ausführen.
| Feld | Wert |
|---|---|
| CVE | CVE-2026-0300 |
| Schweregrad | 🔴 CRITICAL (CVSS 9.8) |
| Produkt | Palo Alto Networks PAN-OS (PA-Serie & VM-Serie) |
| CISA KEV | ✅ Hinzugefügt 2026-05-13 |
| Angriffsvektor | Netzwerk, nicht authentifiziert |
| Auswirkung | Remote-Codeausführung als root |
| Status | Versionen |
|---|---|
| ❌ Verwundbar | PAN-OS 11.3 < 11.3.10, 11.2 < 11.2.12, 10.6 < 10.6.9, 10.5 < 10.5.10 |
| ✅ Behoben | PAN-OS 11.3.10+, 11.2.12+, 10.6.9+, 10.5.10+ |
requests (stdlib-freundlich)# Clone the repository
git clone https://github.com/ridhinva/panos-captive-portal-rce.git
cd panos-captive-portal-rce
# Install dependencies
pip install requests
python3 panos_rce_scanner.py example.com
python3 panos_rce_scanner.py https://192.168.1.1
echo "fw1.company.com" > targets.txt
echo "fw2.company.com" >> targets.txt
python3 panos_rce_scanner.py targets.txt
python3 panos_rce_scanner.py --info
╔══════════════════════════════════════════════════╗
║ CVE-2026-0300 ║
║ PAN-OS User-ID Captive Portal Buffer Overflow RCE Scanner & Checker║
╚══════════════════════════════════════════════════╝
[*] Scanning 3 targets...
[!!] fw-vulnerable.company.com
-> Endpoint accessible: /auth1/ (200)
-> Endpoint accessible: /php_ping.php (200)
-> Endpoint accessible: /global-protect/login.esp (200)
[ -] fw-patched.company.com - No obvious exposure
[ -] 192.168.1.50 - No obvious exposure
[*] Scan complete
[*] Advisory: https://security.paloaltonetworks.com/CVE20260300
Der Scanner führt passives Fingerprinting durch, indem er nach PAN-OS-Captive-Portal-Endpunkten sucht, die über die Verwaltungsschnittstelle offengelegt sind. Das Vorhandensein dieser Endpunkte weist darauf hin, dass der verwundbare Dienst zugänglich ist.
Durchgeführte Prüfungen:
| Endpunkt | Beschreibung |
|---|---|
/auth1/ | User-ID-Captive-Portal-Authentifizierungsendpunkt |
/php_ping.php | Legacy-PHP-Ping-Dienstprogramm (häufig offengelegt) |
/global-protect/login.esp | GlobalProtect-Anmeldeportal |
⚠️ Hinweis: Dieser Scanner erkennt nur die Offenlegung verwundbarer Endpunkte. Die tatsächliche Ausnutzung erfordert ein separates PoC und eine manuelle Verifizierung.
| Quelle | Link |
|---|---|
| CISA-KEV-Katalog | https://www.cisa.gov/known-exploited-vulnerabilities-catalog |
| NVD-Eintrag | https://nvd.nist.gov/vuln/detail/CVE-2026-0300 |
| Sicherheitshinweis des Herstellers | https://security.paloaltonetworks.com/CVE20260300 |
| Patch-Details | https://security.paloaltonetworks.com/CVE20260300 |
Nur für autorisierte Sicherheitstests und zu Bildungszwecken.
Unbefugter Zugriff auf Computersysteme ist illegal. Der Autor übernimmt keine Haftung für Missbrauch.
Holen Sie stets eine ausdrückliche schriftliche Genehmigung ein, bevor Sie Systeme scannen, die Ihnen nicht gehören.
@c_y_p_h3r — Bug-Bounty-Jäger & Sicherheitsforscher
git checkout -b feature/amazing-check)git commit -m 'feat: add amazing check')git push origin feature/amazing-check)Einzelheiten finden Sie in CONTRIBUTING.md.
MIT-Lizenz — Einzelheiten finden Sie in LICENSE.