palo-alto-cve-2026-0265-checker

Funktionen Stellt parallele Verbindungen zu allen Geräten her (konfigurierbare Worker-Anzahl; Standard 8). Eine einzige SSH-Sitzung pro Gerät, führt nur zwei rein lesbare show-Befehle aus – keine Konfigurationsänderungen. Behandelt HA-State-Eingabeaufforderungen (z. B. user@host(active)>) und deaktiviert den PAN-OS-Pager, sodass die Ausgabe nicht abgeschnitten wird. Farbcodierte Zusammenfassungstabelle (rot / gelb / grün) mit separaten Spalten AFFECTED BY CVE, CAS und STATUS. Funktioniert sowohl mit Firewalls als auch mit Panorama (gleiche CLI auf beiden). Plattformübergreifend: Windows / macOS / Linux. ANSI-Farben unter Windows 10+ automatisch aktiviert. Sanftes SSH-Beenden – sendet exit vor dem Schließen, sodass PAN-OS-Audit-Logs eine saubere Abmeldung statt eines Transportabbruchs sehen.

Anforderungen Python 3.8 oder neuer paramiko (pip install paramiko) Ein schreibgeschütztes Administratorkonto, das auf jedem Gerät in Ihrer Liste existiert (TACACS+, RADIUS, SAML oder lokal – alles funktioniert, solange dieselben Anmeldeinformationen überall authentifizieren). SSH (TCP/22)-Erreichbarkeit von dem Ort, an dem Sie das Skript ausführen, zur Management-Schnittstelle jedes Geräts.

Installation

Verwendung Öffnen Sie check_cve_2026_0265.py und bearbeiten Sie die DEVICES-Liste nahe dem Anfang mit Ihren eigenen Hostnamen und Management-IPs: python DEVICES = [ ("fw1-prod-region1", "192.0.2.10"), ("fw2-prod-region1", "192.0.2.11"), ("panorama1", "198.51.100.10"), # ... ] Ändern Sie optional DEFAULT_USER auf Ihren standardmäßigen schreibgeschützten Administratorkontonamen. Führen Sie das Skript aus: bash python check_cve_2026_0265.py Geben Sie Ihren SSH-Benutzernamen und Ihr Passwort ein, wenn Sie dazu aufgefordert werden. Dieselben Anmeldeinformationen werden für jedes Gerät wiederverwendet.

Beispielausgabe

In einem echten Terminal ist die STATUS-Spalte farbcodiert: Status Farbe Bedeutung VULNERABLE fett rot Betroffene Version und CAS ist konfiguriert – sofort patchen NOT_EXPLOITABLE gelb Betroffene Version, aber CAS ist nicht konfiguriert – beim nächsten Wartungsfenster patchen SAFE grün Version ist auf oder über dem korrigierten Hotfix für diese CVE Fehlerzustände (AUTH_FAIL, UNREACHABLE, PARSE_ERR) werden im Fehlerdetailblock unterhalb der Tabelle aufgelistet.

Funktionsweise Für jedes Gerät startet das Skript eine interaktive SSH-Sitzung und führt zwei Befehle aus:

Der erste Befehl gibt eine Zeile wie sw-version: 11.1.4-h7 zurück. Der zweite ist leer, wenn kein CAS-basiertes Authentifizierungsprofil auf dem Gerät konfiguriert ist. Das Skript kombiniert diese beiden Antworten mit der Tabelle der betroffenen Versionen aus dem veröffentlichten Advisory.

Ein Hinweis zur CAS-Erkennung: wenn ein match-Filter keine Treffer liefert, gibt das Gerät nichts zurück außer dem wiederholten Befehl und der nächsten Eingabeaufforderung. Das Skript berücksichtigt, dass der wiederholte Befehl selbst das Schlüsselwort enthält, und markiert CAS nur dann als „konfiguriert“, wenn das Schlüsselwort mehr als einmal in der Ausgabe vorkommt.

Einschränkungen Dieses Skript validiert nur den CVE-2026-0265-Angriffspfad (CAS-basierte Authentifizierung). Ein Gerät, das NOT_EXPLOITABLE zurückgibt, ist durch diese CVE in seiner aktuellen Konfiguration nicht ausnutzbar, führt aber immer noch betroffenen Code aus und sollte im normalen Wartungsrhythmus gepatched werden. Die CAS-Prüfung sucht nach jedem Verweis auf cloud-authentication-service in der laufenden Konfiguration. Es wird nicht überprüft, ob dieses Profil an eine Anmeldeschnittstelle (Management-UI, Authentifizierungsportal, GlobalProtect-Portal/-Gateway) gebunden ist. Ein konfiguriertes, aber ungebundenes CAS-Profil ist technisch gesehen ebenfalls nicht ausnutzbar, aber das Skript meldet es konservativ als VULNERABLE. HA-Paare teilen die Konfiguration, wenn die Synchronisation intakt ist, aber das Skript prüft jeden Partner unabhängig, sodass Sie bestätigen können, dass beide Seiten tatsächlich übereinstimmen. Dieses Skript meldet sich nicht mit SSH-Schlüsseln oder zertifikatsbasierter Authentifizierung am Gerät an – nur Passwortauthentifizierung ist implementiert. PRs sind willkommen.

Referenzen Palo Alto Networks Security Advisory: CVE-2026-0265 Palo Alto Networks: Best Practices für die Sicherung des Administrationszugriffs Übersicht über Cloud Identity Engine / Cloud Authentication Service

Lizenz MIT – siehe LICENSE.

Haftungsausschluss Dieses Skript wird wie besehen für defensive Sicherheits- und Betriebszwecke bereitgestellt. Es ist weder mit Palo Alto Networks verbunden noch von ihnen unterstützt. Bestätigen Sie die Anwendbarkeit der CVE immer anhand des offiziellen Anbieter-Advisorys, bevor Sie Patch-Entscheidungen treffen.