---

📋 개요

PAN-OS의 User-ID 인증 포털에 있는 치명적인 버퍼 오버플로우 취약점(CWE-787)으로 인해 인증되지 않은 공격자가 특수하게 제작된 패킷을 전송하여 루트 권한으로 원격 코드 실행을 달성할 수 있습니다.

CVE ID: CVE-2026-0300
CVSS 4.0 점수: 9.3 (Critical)
긴급도: 최상

---

🛠️ 영향받는 제품

• PA-Series 방화벽
• VM-Series 방화벽

영향받는 PAN-OS 버전

영향 없음: Cloud NGFW, Prisma Access, Panorama(대부분의 구성에서)

---

🔍 취약점 세부 정보

• 유형: 버퍼 오버플로우(경계를 벗어난 쓰기)
• 구성 요소: User-ID™ 인증 포털(캡티브 포털)
• 공격 경로: 네트워크(인증 없음)
• 필요 권한: 없음
• 사용자 상호 작용: 없음
• 영향: 루트 수준의 임의 코드 실행

악용 조건: User-ID 인증 포털이 활성화되어 있고 신뢰할 수 없는 네트워크(예: 인터넷에 노출된 환경)에서 접근 가능해야 합니다.

---

📸 데모

---

⚠️ 악용 현황

실제 환경에서 활발히 악용 중(2026년 5월 6일 기준).

노출된 User-ID 포털을 대상으로 한 제한적인 실제 공격이 관찰되었습니다.

---

🛡️ 완화 및 임시 조치(즉시 조치 필요)

1. 권장 임시 조치(패치가 제공될 때까지)

• User-ID 인증 포털에 대한 접근을 신뢰할 수 있는 IP 주소로만 제한하세요.
• 필요하지 않으면 캡티브 포털/User-ID 포털을 비활성화하세요.
• 신뢰할 수 없는 인터페이스에서 포털 접근을 차단하세요(예: 보안 정책을 통해).

2. 공식 패치 적용

패치는 2026년 5월 13일부터 배포되기 시작합니다.

---

📌 참고 자료

• 공식 권고: Palo Alto Networks - CVE-2026-0300
• The Hacker News: 활발히 악용 중인 PAN-OS 결함
• SecurityWeek: 악용된 Palo Alto 제로데이

---

🛠️ 탐지 및 헌팅 팁

• /php/login.php 또는 캡티브 포털 엔드포인트로 가는 비정상적인 트래픽을 찾으세요.
• 방화벽에서 예기치 않은 프로세스 또는 재부팅을 모니터링하세요.
• PAN-OS 위협 예방 및 엄격한 구역 기반 정책을 활성화하세요.

---

안전을 유지하세요 — 지금 방화벽 노출을 검토하세요.

---

최종 업데이트: 2026년 5월 6일