Palo Alto Networks ha pubblicato l’avviso per la CVE-2026-0300, una vulnerabilità critica nel portale di autenticazione User-ID, il cosiddetto Captive Portal, di PAN-OS, il sistema operativo dei suoi firewall. La falla è già sfruttata in attacchi mirati, e le correzioni per ora non ci sono. Arriveranno in due ondate, le prime dal 13 maggio e le altre intorno al 28 maggio, a seconda del ramo; tra queste la 12.1.4-h5, la 11.2.10-h6, la 11.1.13-h5 e la 10.2.18-h6.
Si tratta di un buffer overflow che un attaccante senza credenziali può sfruttare con richieste costruite ad arte verso il portale, ottenendo l’esecuzione di codice come root sul firewall. Sono coinvolti i firewall fisici PA-Series e virtuali VM-Series con PAN-OS 10.2, 11.1, 11.2 e 12.1, ma solo se il portale di autenticazione è attivo. Il rischio è massimo quando il portale è raggiungibile da Internet o da reti non fidate. Cloud NGFW, Prisma Access e Panorama non sono coinvolti.
Un mese prima dell’avviso
Secondo l’azienda, i primi tentativi di sfruttamento, falliti, risalgono al 9 aprile. Chi sia, e quanti tentativi siano andati a segno da allora, Palo Alto non lo ha detto.
Le scansioni contano oltre 260.000 dispositivi PAN-OS raggiungibili da Internet, anche se solo una parte ha il portale esposto. Per chi segue questo produttore il copione è noto: ad aprile 2024 era toccato a GlobalProtect, a novembre dello stesso anno all’interfaccia di gestione. Ogni volta la componente vulnerabile era una funzione esposta che non tutti avevano bisogno di esporre.
Il firewall è il punto da cui passa tutto il traffico. Chi lo controlla come root può intercettare le comunicazioni, rubare credenziali e muoversi nella rete interna. E finché la patch non esce, la tua unica difesa è la configurazione.
Apri le impostazioni di User Identification e verifica se il portale di autenticazione è attivo. Se non ti serve, spegnilo. Se ti serve, consentilo solo dalle zone interne fidate, mai dalle interfacce esposte a Internet.
Nel frattempo controlla i log del firewall per richieste anomale verso il portale, processi inattesi e modifiche alla configurazione, risalendo almeno fino al 9 aprile. E segna in calendario il 13 maggio: la versione corretta per il tuo ramo va installata il giorno stesso in cui esce.
