北京
5月6日，美國網絡安全與基礎設施安全局（CISA）將編號CVE-2026-0300的漏洞列入"已知被利用漏洞目錄"，向全球網絡管理員發出緊急防御警報。這不是一次普通的漏洞通報——該缺陷允許攻擊者在無需認證的情況下執行任意代碼，并直接獲取防火墻的Root權限。
問題出在PAN-OS的User-ID認證門戶，也就是大家熟悉的強制門戶（Captive Portal）服務。這是一個越界寫入漏洞（CWE-787），屬于內存損壞類缺陷：軟件向內存緩沖區邊界之外寫入數據時觸發。攻擊者只需向目標Captive Portal服務發送特制數據包，就能觸發漏洞。
一旦利用成功，攻擊者獲得的權限級別相當危險。Root權限意味著完全控制這臺安全設備：繞過既有安全策略、截獲敏感網絡流量、篡改配置文件，甚至把被攻陷的防火墻當作跳板，向企業內部網絡發起更深層的攻擊。物理形態的PA系列和虛擬化的VM系列防火墻，只要運行存在缺陷的PAN-OS版本，都在影響范圍內。
CISA將其列入主動利用目錄，等于確認該漏洞已在真實攻擊中被利用。不過安全研究人員表示，目前尚不清楚該漏洞是否被用于活躍的勒索軟件活動。但考慮到網絡邊緣設備對高級持續性威脅（APT）的價值——它們位于傳統內部安全邊界之外，是直通企業環境的門戶——無認證即可獲取Root訪問權限的嚴重性不言而喻。
美國聯邦民事行政部門機構面臨更緊迫的時間壓力。根據約束性操作指令（BOD）22-01，這些機構必須在2026年5月9日前完成系統加固。然而Palo Alto Networks的官方永久補丁尚未發布，組織只能立即部署臨時緩解措施。
具體做法很明確：立即限制對User-ID認證門戶的網絡訪問，確保該服務僅能從嚴格受信的內部區域訪問，絕不暴露于公網。安全團隊需保持高度警戒，密切關注廠商官方通告，一旦固件更新發布立即部署。在補丁到位之前，這道臨時防線可能是阻止入侵的最后屏障。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
