CVE-2026-0265 漏洞评估工具

安全地判断 Palo Alto Networks PAN-OS GlobalProtect 门户是否易受 CVE-2026-0265 影响，无需认证任何会话或修改任何状态。

描述

CVE-2026-0265 是一个影响 PAN-OS 和 Panorama 的远程认证绕过漏洞，当认证配置文件使用云认证服务 (CAS) 时触发。libpanmp_mp.so 中存在漏洞的 pan_auth_verify 函数完全根据攻击者控制的 alg 头部分派 JSON Web Token 签名验证——一个伪造的 JWT，其 alg=HS256 且签名为 HMAC-SHA256(cas_public_key_pem, header.payload)，会被当作真实的 RS256 签名 CAS 令牌接受，从而允许任何攻击者冒充任何用户。

该漏洞可通过两个攻击面利用——GlobalProtect 门户 (/saml/acs.esp，可获得 VPN 会话) 和管理界面 (/SAML20/SP/ACS，可获得完整的 PAN-OS 管理员权限)。本工具仅覆盖 GlobalProtect 门户攻击面。

工作原理

一个匿名的 GET /global-protect/prelogin.esp 请求即可揭示所有必要信息以给出权威结论：

1. 前提条件因素 — prelogin 响应携带一个 XML 元素 <cas-auth>yes|no</cas-auth>，由门户的认证配置直接设置。值为 yes 表示满足此监听器的 CVE 前提条件。
2. 版本因素 — 当 CAS 已附加时，同一响应的 <saml-request> 字段中嵌入了出站 CAS 请求令牌。解码后可获得防火墙的权威版本字符串，然后与供应商公告中每个基础版本的已修补热修复矩阵进行交叉比对，从而产生结论。
3. .saas 短路 — 根据 Palo Alto 的澄清 (2026-05-21)，PA 云管理版本不受影响，无论底层基础版本号如何。

输出刻意最小化

脚本输出结论、防火墙报告的 PanOS 版本（以便防御者根据库存验证评估）、以及基本分类上下文（prelogin_status、prelogin_msg、http_status、错误说明）。如果您的管道需要更丰富的设备元数据，请将目标 URL 与您自己的库存进行交叉引用。

安装

git clone https://github.com/BishopFox/CVE-2026-0265-check
cd CVE-2026-0265-check
pip install requests

需要 Python 3.9+ 和 requests 包。

用法

将一个或多个目标作为位置参数传递，或通过 --targets-file 传递，或从标准输入传递。主机名和 host:port 字符串会自动包装为 https://。

python3 CVE-2026-0265-check.py [options] <target> [<target>...]

默认输出为每个目标一行 JSON 对象到标准输出（便于 jq 解析）。

判定结果

脚本为每个目标输出三类判定结果之一。确定 判定结果权威地回答了该目标的漏洞问题。未确定 判定结果表示探测无法得出结论，需要操作员跟进。

确定 — 存在漏洞

确定 — 不存在漏洞

未确定 — 需要操作员跟进

示例输出

简要模式，混合目标

$ python3 CVE-2026-0265-check.py -b -f targets.txt
https://gp1.customer.example         VULNERABLE                       11.1.6-h23
https://gp2.customer.example         PATCHED                          11.1.6-h32
https://vpn.cloud.customer.example   NOT-AFFECTED-SAAS                11.2.7-h9.saas
https://mgmt.customer.example        NOT-AFFECTED-NO-CAS              -
https://www.customer.example         NOT-AFFECTED-NOT-GLOBALPROTECT   -
https://internal-vpn.customer.example UNDETERMINED-MTLS-GATED         -

JSON 模式（默认）

$ python3 CVE-2026-0265-check.py gp.customer.example | jq .
{
  "target": "https://gp.customer.example",
  "verdict": "VULNERABLE",
  "panos_version": "11.1.6-h23",
  "prelogin_status": "Success",
  "http_status": 200,
  "notes": [
    "11.1.6-h23 is below the advisory's patched hotfix for this base."
  ]
}

低并发扫描

gpsvc 在连续探测下会进行速率限制——脚本已经对每个 HTTP 503 使用递增退避进行重试，但使用 -c 5 和适中的 -t 对大型部署更友好：

cat all-targets.txt | python3 CVE-2026-0265-check.py -b -c 5

前提条件

脚本仅在以下情况下才能产生确定判定结果：

• 目标可以从操作员的视角访问。
• 目标是 PAN-OS GlobalProtect 门户（非 PAN-OS 主机的响应解析为 NOT-AFFECTED-NOT-GLOBALPROTECT 或 UNDETERMINED-ERROR）。
• prelogin 响应不受 mTLS 限制（否则为 UNDETERMINED-MTLS-GATED）或激进的 User-Agent 检查限制（否则为 UNDETERMINED-VERSION-GATED）。

许可证

根据 MIT 许可证 分发。

法律免责声明

在未事先获得双方同意的情况下使用此工具攻击目标是非法的。最终用户有责任遵守所有适用的地方、州和联邦法律。开发者不承担任何责任，且不对因使用本程序造成的任何误用或损害负责。

另请参阅

• Bishop Fox 博客
• Palo Alto Networks 公告 CVE-2026-0265
• NVD — CVE-2026-0265