20 de maio de 2026 · Security-Advisory · Palo Alto Networks

PAN-OS em maio de 2026: duas vulnerabilidades, uma sob exploração ativa

Duas falhas no PAN-OS em maio de 2026: RCE como root via Captive Portal e bypass de autenticação no GlobalProtect. Quem é afetado e que reforço conta agora.

A Palo Alto Networks divulgou em maio de 2026, no espaço de uma semana, duas vulnerabilidades no PAN-OS – uma delas já sob exploração ativa. Em 5 de maio foi publicada a CVE-2026-0300: um buffer overflow acessível sem autenticação no componente User-ID/Captive Portal, que possibilita Remote Code Execution com privilégios de root na firewall – segundo o fabricante, com um valor CVSS v4 de 9,3. Já na divulgação, a Palo Alto Networks relatou exploração ativa limitada; entretanto, circulam também repositórios de PoC públicos, até ao momento não verificados, e a CISA incluiu a vulnerabilidade no catálogo KEV.

Em 13 de maio seguiu-se a CVE-2026-0257: um Authentication Bypass no GlobalProtect através de cookies de sessão de authentication-override falsificados, avaliado pelo fabricante com um valor CVSS de 4,7. A falha só produz efeito quando os cookies de authentication-override estão ativados e o certificado de assinatura de cookies é reutilizado – mas, nesse caso, permite o acesso à VPN sem credenciais válidas. Ainda não foi relatada publicamente nenhuma exploração; o valor CVSS moderado, porém, não deve esconder que esta combinação de configuração ocorre na prática – verifique proativamente a sua própria configuração.

Quanto à ordem de grandeza: cerca de 225.000 instâncias PAN-OS são, segundo o Shodan, acessíveis a partir da internet. Essa é a superfície de ataque potencial – mas de facto exploráveis via CVE-2026-0300 são apenas os sistemas nos quais o Captive Portal está ativado, o que não é o estado de fábrica. Esta distinção é importante: decide se a sua organização está sob pressão de tempo ou pode aplicar patches de forma ordenada. Quem não conhece a própria configuração tem de partir do caso mais desfavorável.

Quem é afetado

São afetados os ramos de versão do PAN-OS 10.2, 11.1, 11.2 e 12.1. A Palo Alto Networks publica as versões corrigidas de forma escalonada por ramo – nem para todos os ramos há já uma correção disponível. Quanto à explorabilidade, vale:

  • CVE-2026-0300: apenas firewalls com Captive Portal ativado (não é a predefinição) – mas, nesse caso, sem autenticação e com privilégios de root.
  • CVE-2026-0257: apenas instalações GlobalProtect com cookies de authentication-override ativados em combinação com um certificado de assinatura reutilizado.

O que fazer agora

  • Aplicar imediatamente os patches disponíveis: as correções surgem de forma escalonada por ramo de versão – aplique de imediato cada versão corrigida disponível e acompanhe continuamente os advisories. A CVE-2026-0300 está sob exploração ativa; aqui cada dia conta. Para os ramos sem correção disponível, valem até lá as seguintes medidas de configuração.
  • Verificar o Captive Portal e, se não for utilizado, desativá-lo: o que não está ativo não é atacável via CVE-2026-0300 – a medida imediata mais eficaz a par do patch.
  • Desligar os cookies de authentication-override ou, pelo menos, empregar um certificado de assinatura dedicado e não reutilizado; em caso de suspeita de abuso, trocar o certificado e invalidar as sessões existentes.
  • Minimizar a exposição: a interface de gestão não pertence à internet; expor os portais GlobalProtect apenas na medida em que a necessidade de acesso remoto o exigir.
  • Verificar os logs: examinar os inícios de sessão do GlobalProtect em busca de padrões invulgares, bem como a própria firewall em busca de indícios de comprometimento – em especial onde o Captive Portal estava ativo.

Como a sector7 apoia

Como integrador de sistemas gerido pelo proprietário, com certificação Palo Alto Networks, verificamos a configuração da sua firewall quanto aos dois pré-requisitos de ataque e conduzimos o rollout de patches de forma controlada, através de pares HA e locais. A nossa monitorização NOC 24/7 mantém a sua infraestrutura de segurança sob observação também após o patch – a preços mensais fixos.

Fontes

Vamos falar sobre a sua situação.

Marcar uma conversa+49 212 240915 0