palo-alto-cve-2026-0265-checker

Comprobador de riesgo CVE-2026-0265 para Palo Alto PAN-OS Un script de Python que se conecta a una lista de firewalls de Palo Alto Networks y dispositivos Panorama a través de SSH e informa de la exposición de cada dispositivo a CVE-2026-0265, una vulnerabilidad de omisión de autenticación en PAN-OS que afecta a los dispositivos con el Cloud Authentication Service (CAS) habilitado. En lugar de depender únicamente de la coincidencia de versión (que sobreestima el número de afectados), el script también comprueba si CAS está realmente configurado en cada dispositivo y distingue entre vulnerable, afectado pero no explotable y seguro.

Por qué existe este script El aviso oficial enumera como "afectada" todas las versiones de PAN-OS anteriores a un hotfix corregido. En la práctica, el fallo solo importa si has configurado un perfil de autenticación basado en CAS. Un análisis de versión ingenuo marca todos los dispositivos con un hotfix antiguo como vulnerables, sin dejarte forma de priorizar el parcheo en una flota grande. Este script te ofrece el panorama completo de una sola pasada: AFFECTED BY CVE — verificación puramente del rango de versiones según el aviso. CAS — ¿tiene realmente el dispositivo definido un perfil de autenticación CAS? STATUS — veredicto combinado: VULNERABLE — versión afectada y CAS configurado (exposición real) NOT_EXPLOITABLE — versión afectada, pero no hay ningún perfil CAS definido; la ruta de código vulnerable no es alcanzable SAFE — ejecuta una versión corregida o no afectada

Características Se conecta a todos los dispositivos en paralelo (número de workers configurable; 8 por defecto). Una única sesión SSH por dispositivo; solo ejecuta dos comandos show de solo lectura — sin cambios de configuración. Gestiona los prompts de estado HA (p. ej. user@host(active)>) y desactiva el paginador de PAN-OS para que la salida no se trunque. Tabla resumen con códigos de color (rojo / amarillo / verde) con columnas independientes para AFFECTED BY CVE, CAS y STATUS. Funciona tanto con firewalls como con Panorama (la misma CLI en ambos). Multiplataforma: Windows / macOS / Linux. Colores ANSI activados automáticamente en Windows 10+. Cierre SSH ordenado — envía exit antes de cerrar para que los registros de auditoría de PAN-OS reflejen un cierre de sesión limpio en lugar de una caída del transporte.

Requisitos Python 3.8 o superior paramiko (pip install paramiko) Una cuenta de administrador de solo lectura que exista en todos los dispositivos de tu lista (TACACS+, RADIUS, SAML o local — cualquier método sirve siempre que las mismas credenciales autentiquen en todos los sitios). Conectividad SSH (TCP/22) desde donde ejecutes el script hasta la interfaz de gestión de cada dispositivo.

Instalación

git clone https://github.com/YOUR_USERNAME/palo-alto-cve-2026-0265-checker.git
cd palo-alto-cve-2026-0265-checker
pip install paramiko

---

Uso Abre check_cve_2026_0265.py y edita la lista DEVICES cerca de la parte superior con tus propios nombres de host e IPs de gestión: python DEVICES = [ ("fw1-prod-region1", "192.0.2.10"), ("fw2-prod-region1", "192.0.2.11"), ("panorama1", "198.51.100.10"), # ... ] Opcionalmente, cambia DEFAULT_USER por tu cuenta de administrador de solo lectura habitual. Ejecuta el script: bash python check_cve_2026_0265.py Introduce tu nombre de usuario y contraseña SSH cuando se te solicite. Las mismas credenciales se reutilizan para todos los dispositivos.

Salida de ejemplo

================================================================================
 CVE-2026-0265 Risk Checker  -  Multi-device PAN-OS sweep
================================================================================
 Devices in list: 6
 Parallel workers: 8

SSH username for all devices [admin]:
Password for admin:

 Checking devices (results appear as each finishes) ...
 ------------------------------------------------------------------------------
 [ 1/ 6] fw1-prod-region1                 192.0.2.10       NOT_EXPLOITABLE  11.1.4-h7    CAS:no
 [ 2/ 6] fw2-prod-region1                 192.0.2.11       NOT_EXPLOITABLE  11.1.4-h7    CAS:no
 [ 3/ 6] fw1-prod-region2                 192.0.2.20       SAFE             11.0.3-h10   CAS:no
 [ 4/ 6] fw2-prod-region2                 192.0.2.21       SAFE             11.0.3-h10   CAS:no
 [ 5/ 6] panorama1-region1                198.51.100.10    NOT_EXPLOITABLE  11.2.7-h4    CAS:no
 [ 6/ 6] panorama2-region2                198.51.100.20    NOT_EXPLOITABLE  11.2.7-h4    CAS:no
 ------------------------------------------------------------------------------
 Completed in 18.4 seconds