palo-alto-cve-2026-0265-checker

Características Se conecta a todos los dispositivos en paralelo (número de workers configurable; 8 por defecto). Una única sesión SSH por dispositivo; solo ejecuta dos comandos show de solo lectura — sin cambios de configuración. Gestiona los prompts de estado HA (p. ej. user@host(active)>) y desactiva el paginador de PAN-OS para que la salida no se trunque. Tabla resumen con códigos de color (rojo / amarillo / verde) con columnas independientes para AFFECTED BY CVE, CAS y STATUS. Funciona tanto con firewalls como con Panorama (la misma CLI en ambos). Multiplataforma: Windows / macOS / Linux. Colores ANSI activados automáticamente en Windows 10+. Cierre SSH ordenado — envía exit antes de cerrar para que los registros de auditoría de PAN-OS reflejen un cierre de sesión limpio en lugar de una caída del transporte.

Requisitos Python 3.8 o superior paramiko (pip install paramiko) Una cuenta de administrador de solo lectura que exista en todos los dispositivos de tu lista (TACACS+, RADIUS, SAML o local — cualquier método sirve siempre que las mismas credenciales autentiquen en todos los sitios). Conectividad SSH (TCP/22) desde donde ejecutes el script hasta la interfaz de gestión de cada dispositivo.

Instalación

Uso Abre check_cve_2026_0265.py y edita la lista DEVICES cerca de la parte superior con tus propios nombres de host e IPs de gestión: python DEVICES = [ ("fw1-prod-region1", "192.0.2.10"), ("fw2-prod-region1", "192.0.2.11"), ("panorama1", "198.51.100.10"), # ... ] Opcionalmente, cambia DEFAULT_USER por tu cuenta de administrador de solo lectura habitual. Ejecuta el script: bash python check_cve_2026_0265.py Introduce tu nombre de usuario y contraseña SSH cuando se te solicite. Las mismas credenciales se reutilizan para todos los dispositivos.

Salida de ejemplo

En un terminal real, la columna STATUS tiene códigos de color: Estado Color Significado VULNERABLE rojo en negrita Versión afectada y CAS configurado — parchea de inmediato NOT_EXPLOITABLE amarillo Versión afectada, pero CAS no está configurado — parchea en la próxima ventana de mantenimiento SAFE verde La versión es igual o posterior al hotfix corregido para este CVE Los estados de error (AUTH_FAIL, UNREACHABLE, PARSE_ERR) se enumeran en el bloque de detalle de errores debajo de la tabla.

Cómo funciona Para cada dispositivo, el script abre una sesión SSH interactiva y ejecuta dos comandos:

El primero devuelve una línea como sw-version: 11.1.4-h7. El segundo está vacío si no hay ningún perfil de autenticación basado en CAS configurado en el dispositivo. El script combina estas dos respuestas con la tabla de versiones afectadas del aviso publicado.

Nota sobre la detección de CAS: cuando un filtro match no encuentra coincidencias, el dispositivo no devuelve nada más que el comando repetido y el siguiente prompt. El script tiene en cuenta que el propio comando repetido contiene la palabra clave y solo marca CAS como "configurado" cuando la palabra clave aparece más de una vez en la salida.

Advertencias Este script solo valida la ruta de ataque de CVE-2026-0265 (autenticación basada en CAS). Un dispositivo que devuelva NOT_EXPLOITABLE no es explotable a través de este CVE en su configuración actual, pero sigue ejecutando código afectado y debería parchearse con la cadencia de mantenimiento habitual. La comprobación de CAS busca cualquier referencia a cloud-authentication-service en la configuración en ejecución. No verifica si ese perfil está vinculado a una interfaz de inicio de sesión (mgmt UI, Authentication Portal, portal/pasarela GlobalProtect). Un perfil CAS configurado pero no vinculado tampoco es explotable técnicamente, pero el script lo informa de forma conservadora como VULNERABLE. Los pares HA comparten configuración cuando la sincronización es correcta, pero el script comprueba cada miembro de forma independiente para que puedas confirmar que ambos lados realmente coinciden. Este script no inicia sesión en el dispositivo mediante claves SSH ni autenticación basada en certificados — solo se implementa autenticación por contraseña. Se aceptan PRs.

Referencias Aviso de seguridad de Palo Alto Networks: CVE-2026-0265 Palo Alto Networks: Prácticas recomendadas para asegurar el acceso administrativo Descripción general de Cloud Identity Engine / Cloud Authentication Service

Licencia MIT — consulte LICENSE.

Descargo de responsabilidad Este script se proporciona tal cual para uso operativo y de seguridad defensiva. No está afiliado ni respaldado por Palo Alto Networks. Confirma siempre la aplicabilidad del CVE consultando el aviso oficial del fabricante antes de tomar decisiones de parcheo.