CVE-2026-0265 Risikochecker für Palo Alto PAN-OS Ein Python-Skript, das sich per SSH mit einer Liste von Palo Alto Networks Firewalls und Panorama Appliances verbindet und für jedes Gerät die Exposition gegenüber CVE-2026-0265 meldet – eine Authentifizierungs-Umgehungsschwachstelle in PAN-OS, die Geräte mit aktiviertem Cloud Authentication Service (CAS) betrifft. Anstatt sich ausschließlich auf einen Versionsabgleich zu verlassen (der zu viele Treffer meldet), prüft das Skript auch, ob CAS auf jedem Gerät tatsächlich konfiguriert ist, und unterscheidet zwischen verwundbar, betroffen-aber-nicht-ausnutzbar und sicher.

Warum dieses Skript existiert Der offizielle Advisory listet jede PAN-OS-Version unterhalb eines bestimmten Hotfixes als „betroffen“ auf. In der Praxis ist der Fehler nur dann relevant, wenn Sie ein CAS-basiertes Authentifizierungsprofil konfiguriert haben. Eine naive Versionsabfrage markiert jedes Gerät mit einem älteren Hotfix als verwundbar, sodass Sie keine Möglichkeit haben, das Patchen über einen großen Gerätebestand zu priorisieren. Dieses Skript liefert in einem Durchlauf das vollständige Bild: BETROFFEN VON CVE – reine Versionsbereichsprüfung gegen den Advisory. CAS – hat das Gerät tatsächlich ein CAS-Authentifizierungsprofil definiert? STATUS – kombinierte Bewertung: `VULNERABLE` – betroffene Version und CAS konfiguriert (echte Gefährdung) `NOT_EXPLOITABLE` – betroffene Version, aber kein CAS-Profil definiert; der anfällige Codepfad ist nicht erreichbar `SAFE` – eine korrigierte oder nicht betroffene Version wird ausgeführt

Funktionen Stellt parallele Verbindungen zu allen Geräten her (konfigurierbare Worker-Anzahl; Standard 8). Eine einzige SSH-Sitzung pro Gerät, führt nur zwei rein lesbare `show`-Befehle aus – keine Konfigurationsänderungen. Behandelt HA-State-Eingabeaufforderungen (z. B. `user@host(active)>`) und deaktiviert den PAN-OS-Pager, sodass die Ausgabe nicht abgeschnitten wird. Farbcodierte Zusammenfassungstabelle (rot / gelb / grün) mit separaten Spalten `AFFECTED BY CVE`, `CAS` und `STATUS`. Funktioniert sowohl mit Firewalls als auch mit Panorama (gleiche CLI auf beiden). Plattformübergreifend: Windows / macOS / Linux. ANSI-Farben unter Windows 10+ automatisch aktiviert. Sanftes SSH-Beenden – sendet `exit` vor dem Schließen, sodass PAN-OS-Audit-Logs eine saubere Abmeldung statt eines Transportabbruchs sehen.

Anforderungen Python 3.8 oder neuer `paramiko` (`pip install paramiko`) Ein schreibgeschütztes Administratorkonto, das auf jedem Gerät in Ihrer Liste existiert (TACACS+, RADIUS, SAML oder lokal – alles funktioniert, solange dieselben Anmeldeinformationen überall authentifizieren). SSH (TCP/22)-Erreichbarkeit von dem Ort, an dem Sie das Skript ausführen, zur Management-Schnittstelle jedes Geräts.

Installation

git clone https://github.com/YOUR_USERNAME/palo-alto-cve-2026-0265-checker.git
cd palo-alto-cve-2026-0265-checker
pip install paramiko

Verwendung Öffnen Sie `check_cve_2026_0265.py` und bearbeiten Sie die `DEVICES`-Liste nahe dem Anfang mit Ihren eigenen Hostnamen und Management-IPs: `python DEVICES = [ ("fw1-prod-region1", "192.0.2.10"), ("fw2-prod-region1", "192.0.2.11"), ("panorama1", "198.51.100.10"), # ... ]` Ändern Sie optional `DEFAULT_USER` auf Ihren standardmäßigen schreibgeschützten Administratorkontonamen. Führen Sie das Skript aus: `bash python check_cve_2026_0265.py` Geben Sie Ihren SSH-Benutzernamen und Ihr Passwort ein, wenn Sie dazu aufgefordert werden. Dieselben Anmeldeinformationen werden für jedes Gerät wiederverwendet.

Beispielausgabe

================================================================================
 CVE-2026-0265 Risikochecker  -  Multi-Device PAN-OS Scan
================================================================================
 Geräte in der Liste: 6
 Parallele Worker: 8

SSH-Benutzername für alle Geräte [admin]:
Passwort für admin:

 Überprüfe Geräte (Ergebnisse erscheinen, sobald jedes abgeschlossen ist) ...
 ------------------------------------------------------------------------------
 [ 1/ 6] fw1-prod-region1                 192.0.2.10       NOT_EXPLOITABLE  11.1.4-h7    CAS:nein
 [ 2/ 6] fw2-prod-region1                 192.0.2.11       NOT_EXPLOITABLE  11.1.4-h7    CAS:nein
 [ 3/ 6] fw1-prod-region2                 192.0.2.20       SAFE             11.0.3-h10   CAS:nein
 [ 4/ 6] fw2-prod-region2                 192.0.2.21       SAFE             11.0.3-h10   CAS:nein
 [ 5/ 6] panorama1-region1                198.51.100.10    NOT_EXPLOITABLE  11.2.7-h4    CAS:nein
 [ 6/ 6] panorama2-region2                198.51.100.20    NOT_EXPLOITABLE  11.2.7-h4    CAS:nein
 ------------------------------------------------------------------------------
 Abgeschlossen in 18.4 Sekunden

palo-alto-cve-2026-0265-checker

Beliebteste

Über