---

📋 概述

PAN-OS 的 User-ID 身份验证门户中存在一个严重的缓冲区溢出漏洞（CWE-787），允许未认证攻击者通过发送特制数据包实现以 root 权限执行的远程代码执行。

CVE ID：CVE-2026-0300
CVSS 4.0 评分：9.3（严重）
紧急程度：最高

---

🛠️ 受影响产品

• PA 系列防火墙
• VM 系列防火墙

受影响的 PAN-OS 版本

PAN-OS 分支	受影响版本	修复版本（预计）
12.1	< 12.1.4-h5, < 12.1.7	12.1.4-h5（5 月 13 日）
11.2	低于特定热修复版本的所有版本	多个（5 月 13 日至 28 日）
11.1	低于特定热修复版本的所有版本	多个（5 月 13 日至 28 日）
10.2	低于特定热修复版本的所有版本	多个（5 月 13 日至 28 日）

不受影响：Cloud NGFW、Prisma Access、Panorama（在大多数配置下）

---

🔍 漏洞详情

• 类型：缓冲区溢出（越界写入）
• 组件：User-ID™ 身份验证门户（强制门户）
• 攻击向量：网络（未认证）
• 所需权限：无
• 用户交互：无
• 影响：root 级别的任意代码执行

利用条件：User-ID 身份验证门户必须已启用，且可从不受信任的网络访问（例如暴露于互联网）。

---

📸 演示

---

⚠️ 利用状态

已在野被积极利用（截至 2026 年 5 月 6 日）。

已观察到针对暴露的 User-ID 门户的有限真实世界攻击。

---

🛡️ 缓解措施与变通方案（需立即采取行动）

1. 推荐的变通方案（在补丁可用之前）

• 限制访问：仅允许受信任的 IP 地址访问 User-ID 身份验证门户。
• 如果不需要，禁用强制门户 / User-ID 门户。
• 在不受信任的接口上阻止对门户的访问（例如通过安全策略）。

2. 应用官方补丁

补丁将从 2026 年 5 月 13 日起陆续发布。

---

📌 参考资料

• 官方公告：Palo Alto Networks - CVE-2026-0300
• The Hacker News：PAN-OS 漏洞正被积极利用
• SecurityWeek：Palo Alto 零日漏洞被利用

---

🛠️ 检测与狩猎提示

• 查找发往 /php/login.php 或强制门户端点的异常流量。
• 监控防火墙上的异常进程或重启。
• 启用 PAN-OS 威胁防御和严格的基于区域的策略。

---

保持安全 — 今天就检查你的防火墙暴露情况。

---

最后更新：2026年5月6日