PAN-OS CVE-2026-0300 非破壊的露出調査ツール

概要

このツールは、対象のPAN-OSサービスがCVE-2026-0300に関連するネットワーク到達可能なサーフェスを露出している可能性があるかどうかを評価するための非破壊的露出調査ユーティリティです。

このツールは、許可された防御的セキュリティ検証、資産露出レビュー、および脆弱性トリアージを目的としています。このツールは脆弱性を悪用せず、メモリ破壊ペイロードを送信せず、対象デバイスのクラッシュや侵害を試みることもありません。

対象CVE

このツールは以下に関連する露出評価用に設計されています：

• CVE: CVE-2026-0300
• ベンダー: Palo Alto Networks
• 製品: PAN-OS
• 影響を受けるコンポーネント: User-ID認証ポータル（別名キャプティブポータル）
• 脆弱性の種類: バッファオーバーフロー / 領域外書き込み
• 影響: 影響を受けるデバイス上でのルート権限による認証不要のリモートコード実行の可能性
• 深刻度: 重大
• CVSS: 9.3
• エクスプロイトの成熟度: 攻撃中

Palo Alto Networksによると、CVE-2026-0300はUser-ID認証ポータルが有効化され、信頼できないネットワークから到達可能なPAN-OS導入環境に影響します。PAシリーズおよびVMシリーズのファイアウォールが影響を受ける可能性があります。Prisma Access、Cloud NGFW、およびPanoramaは公式アドバイザリで影響を受けないと記載されています。

このツールがチェックする内容

このツールは、対象がPAN-OSポータル関連サービスを露出しているように見えるかどうかを識別するために、安全なネットワークおよびHTTP(S)レベルのチェックを実行します。

チェックする内容：

• 指定されたIP/ポートへのTCP到達可能性。
• HTTPS到達可能性。
• --scheme bothまたは--scheme http使用時のHTTP到達可能性。
• 安全なHTTPメソッドのみ：
  • HEAD
  • GET
  • OPTIONS
• ポータル関連パス（以下を含む）：
  • /
  • /php/login.php
  • /php/uid.php
  • /php/uidlogin.php
  • /sslmgr
  • /global-protect/login.esp
• HTTPレスポンスステータスコード。
• 以下を示す可能性のある基本的なレスポンスフィンガープリント：
  • PAN-OS
  • Palo Alto Networks
  • キャプティブポータル
  • User-ID認証ポータル
  • GlobalProtect
  • レスポンスページ
• --pan-os-verを使用した任意の自己申告PAN-OSバージョン評価。

HTTPS証明書検証はデフォルトで無効になっています。これは、PAN-OS管理およびポータルサービスが自己署名またはプライベート発行の証明書を使用することが多いためです。

このツールが行わないこと

このツールは以下を行いません：

• エクスプロイトペイロードの送信。
• メモリ破壊バッファの送信。
• 認証バイパスの試行。
• リモートコード実行の試行。
• クラッシュテストの実行。
• 悪用可能性の確認。
• 対象デバイスの変更。
• PAN-OSへの認証。
• PAN-OS設定の直接読み取り。

このツールは外部ネットワークから観測可能な露出評価と、--pan-os-verが指定された場合の自己申告バージョンに基づくリスク評価のみを提供します。

結果から学べること

このツールは以下の質問に答えるのに役立ちます：

1. 対象ポートは到達可能ですか？

このツールは、スキャナホストが指定された対象とポートへのTCP接続を確立できるかどうかをチェックします。

出力例：

tcp=True
https=True

これは、対象ポートがスキャナホストから到達可能であり、HTTPS接続を受け入れていることを意味します。

2. サービスはHTTP(S)サービスのように動作しますか？

このツールは安全なHTTP(S)リクエストを送信し、レスポンスステータスコードを記録します。

出力例：

HTTPS HEAD /: HTTP/1.1 403 Forbidden
HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error

これは、サービスが到達可能であり、HTTP(S)リクエストを処理していることを意味します。

3. ポータル関連パスは外部から到達可能ですか？

このツールは、PAN-OSポータルまたはレスポンスページ機能に一般的に関連付けられるパスをチェックします。

例：

/php/login.php
/php/uid.php
/php/uidlogin.php

これらのパスからの非404レスポンスは、ポータル関連ハンドラがスキャナホストから到達可能であることを示す可能性があります。

4. 対象はPAN-OS/User-IDポータルのように見えますか？

このツールは、レスポンスヘッダー、タイトル、リダイレクト、クッキー、およびレスポンスボディサンプル内の軽量なテキストインジケータを探します。

インジケータの例：

palo alto
pan-os
globalprotect
captive portal
user-id
authentication portal
response page

これらのインジケータは、露出したサービスがPAN-OSポータル機能に関連しているという信頼性を高めます。

5. 指定されたPAN-OSバージョンは影響を受けますか？

--pan-os-verが指定された場合、ツールは指定されたバージョンをスクリプトに埋め込まれた公式アドバイザリテーブルの影響を受ける/修正済みのしきい値と比較します。

例：

--pan-os-ver 10.2.4-h2

出力例：

patch_status: AFFECTED_BY_VERSION
version_status: AFFECTED_VERSION
combined_risk=HIGH

--pan-os-verが指定されていない場合、ツールは影響を受ける/修正済みのバージョンテーブルを表示し、バージョンステータスを不明として報告します。

インストール

このツールはPython標準ライブラリモジュールのみを使用します。

外部のPython依存関係は必要ありません。

python3 --version

推奨：

Python 3.8+

最小限のrequirements.txtを使用できます：

# 外部依存関係は不要です。
# このツールはPython標準ライブラリモジュールのみを使用します。

基本的な使用方法

単一の対象とポートをスキャン

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082

自己申告のPAN-OSバージョンでスキャン

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2

リクエストごとの詳細な観測結果を表示

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

HTTPSとHTTPの両方をプローブ

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --scheme both

最小限のパスプローブを使用

デフォルトでは、ツールはすべての安全な既知のパスをプローブします。

--minimalを使用して以下のみをチェックします：

• /
• /php/login.php

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --minimal

複数のポートをスキャン

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 443,6082,6081-6083 \
  --scheme both

CIDR範囲をスキャン

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.0/24 \
  -p 6082 \
  --csv-out results.csv \
  --json-out results.json

ファイルから対象をスキャン

targets.txtを作成します：

172.16.20.254
172.16.20.253
172.16.21.0/24

実行：

python3 panos_cve_2026_0300_diag.py \
  -T targets.txt \
  -p 6082 \
  --json-out results.json

コマンドラインオプション

結果の解釈

このツールは3つの主要なタイプの評価を生成します：

1. 露出レベル
2. バージョン/パッチステータス
3. 複合リスク

露出レベルリファレンス

信頼性リファレンス

HTTPステータス解釈

バージョンステータスリファレンス

パッチステータスリファレンス

複合リスクリファレンス

出力例

コマンド例：

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

結果例：

[WARN] 172.16.20.254:6082 -> POSSIBLE_EXPOSED_AUTH_PORTAL / confidence=HIGH / combined_risk=HIGH
  exposure_reason: Portal-related paths appear reachable and behave like application handlers, but PAN-OS product/version cannot be confirmed remotely.
  patch_status: AFFECTED_BY_VERSION
  version_status: AFFECTED_VERSION
  pan_os_version: 10.2.4-h2
  normalized_version: 10.2.4-h2
  version_reason: Version is older than earliest fixed threshold 10.2.7-h34.
  combined_reason: Exposure indicators were observed and the supplied PAN-OS version is affected by the version table.
  evidence:
    - HTTPS HEAD /: HTTP/1.1 403 Forbidden
    - HTTPS HEAD /php/login.php: HTTP/1.1 405 Not Allowed
    - HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error
    - Portal-related PHP path returned 5xx, suggesting application handler exposure.
    - Multiple portal-related PHP paths responded with non-404 statuses: /php/login.php, /php/uid.php, /php/uidlogin.php

これは以下を意味します：

• 対象ポートは到達可能です。
• HTTPSが利用可能です。
• ポータル関連パスが外部から到達可能です。
• 少なくとも1つのポータル関連パスが5xxレスポンスを返しました。
• 指定されたPAN-OSバージョンは埋め込まれたバージョンテーブルによると影響を受けます。
• 複合リスクは高です。

終了コード

重要な制限事項

このツールはネットワークだけからすべてを判断することはできません。

以下を直接確認することはできません：

• User-ID認証ポータルがPAN-OS設定で有効化されているかどうか。
• レスポンスページが特定のインターフェース管理プロファイルで有効化されているかどうか。
• サービスがすべての信頼できないネットワークから到達可能かどうか。
• Threat Preventionシグネチャが有効化されているかどうか。
• 対象が実際に悪用可能かどうか。
• 対象が侵害されているかどうか。

結果は露出およびトリアージのシグナルとして扱うべきであり、悪用可能性の証明として扱うべきではありません。

推奨されるフォローアップチェック

ツールがPOSSIBLE_EXPOSED_AUTH_PORTAL、LIKELY_EXPOSED_AUTH_PORTAL、またはHIGHを報告した場合、PAN-OSデバイスで以下を確認してください：

• インストールされているPAN-OSバージョンを確認。
• User-ID認証ポータル / キャプティブポータルが有効化されているかどうかを確認。
• 信頼できないネットワークから到達可能なインターフェースでレスポンスページが有効化されているかどうかを確認。
• サービスがインターネットまたは他の信頼できないゾーンから到達可能かどうかを確認。
• 関連するThreat Preventionコンテンツとシグネチャがインストールおよび有効化されているかどうかを確認。
• ポータル関連パスへの異常なリクエストについてシステム、脅威、およびトラフィックログを確認。
• ベンダー推奨の修正バージョンまたは緩和策を適用。

公式情報リンク

• CVE-2026-0300に関するPalo Alto Networksセキュリティアドバイザリ： https://security.paloaltonetworks.com/CVE-2026-0300

• Palo Alto Networksセキュリティアドバイザリポータル： https://security.paloaltonetworks.com/

• CISA既知の悪用された脆弱性カタログ： https://www.cisa.gov/known-exploited-vulnerabilities-catalog

• NIST National Vulnerability Databaseエントリ： https://nvd.nist.gov/vuln/detail/CVE-2026-0300

注意事項

本番環境での決定を行う前に、常に最新のベンダーアドバイザリを確認してください。このツールの影響を受ける/修正済みのバージョンテーブルは、Palo Alto Networksがアドバイザリを改訂した場合にレビューおよび更新する必要があります。

このツールは許可された防御的使用のみを目的としています。