Falha de segurança crítica no PAN-OS já sob ataque
A Palo Alto Networks comunicou uma falha de segurança crítica no seu sistema operativo PAN-OS, já activamente atacada na Internet. A vulnerabilidade permite a atacantes não autenticados executar código arbitrário com privilégios de root nos sistemas de firewall afectados. Particularmente delicado: as actualizações só estarão disponíveis dentro de uma a várias semanas.
Os detalhes técnicos da vulnerabilidade
Trata-se de um transbordo de memória intermédia (buffer overflow) no portal de autenticação User-ID, também conhecido como captive portal. A vulnerabilidade, registada com o identificador CVE-2026-0300, recebeu o valor CVSS4 de 9.3 e, com ele, a classificação de risco "crítico".
Os atacantes podem explorar a falha enviando pacotes cuidadosamente preparados às firewalls afectadas das séries PA e VM. Assim obtêm a possibilidade de introduzir e executar código arbitrário com privilégios de root.
Sistemas e versões afectados
A vulnerabilidade afecta as seguintes versões do PAN-OS:
- PAN-OS 12.1
- PAN-OS 11.2
- PAN-OS 11.1
- PAN-OS 10.2
Segundo a Palo Alto Networks, não estão expressamente afectados a Cloud NGFW, o Prisma Access e os appliances Panorama.
São necessárias medidas de protecção imediatas
Como a vulnerabilidade já está a ser activamente explorada, os responsáveis de TI são chamados a tomar contramedidas imediatas. A Palo Alto Networks recomenda duas abordagens temporárias:
Desactivação do captive portal
A medida imediata mais eficaz é a desactivação completa do portal de autenticação User-ID. Como este não está configurado por predefinição, só estão afectados os sistemas em que o portal foi explicitamente activado.
Limitação da permissão de acesso
Se não for possível desactivar o portal, o acesso deve ser limitado a zonas de confiança. Esta medida reduz o valor CVSS4 de 9.3 para 8.7, baixando assim o risco de "crítico" para "elevado".
Ataques observados e erros de configuração
A Palo Alto Networks confirma que já foi observada uma exploração limitada da vulnerabilidade. Nos equipamentos afectados era possível o acesso a partir de endereços IP não fidedignos e, em parte, mesmo a partir da Internet aberta.
O fabricante sublinha que tais configurações estão em contradição com as boas práticas de segurança. Isso realça a importância de uma configuração de base orientada para a segurança nos sistemas de firewall.
Calendário das actualizações previstas
A disponibilidade das actualizações de segurança está prevista de forma faseada:
Disponíveis a 13 de maio:
- 12.1.4-h5
- 11.2.7-h13
- 11.2.10-h6
- 11.1.4-h33
- 11.1.6-h32
- 11.1.10-h25
- 11.1.13-h5
- 10.2.10-h36
- 10.2.18-h6
Disponíveis a 28 de maio:
- 12.1.7
- 11.2.4-h17
- 11.2.12
- 11.1.7-h6
- 11.1.15
- 10.2.7-h34
- 10.2.13-h21
- 10.2.16-h7
Enquadramento no contexto de segurança
Esta vulnerabilidade junta-se a uma série de problemas de segurança na Palo Alto Networks. Já em janeiro tinham sido conhecidas falhas nas firewalls que permitiam aos atacantes forçar os appliances para o modo de manutenção e assim anular a protecção da firewall.
Para as empresas com infra-estruturas críticas, a combinação de ataques activos e do atraso nas actualizações é especialmente problemática. O facto de a vulnerabilidade já estar a ser explorada aumenta consideravelmente a pressão para agir.
Recomendações para os responsáveis de TI
Os administradores de TI devem tomar de imediato as seguintes medidas:
- Verificação imediata de todas as instalações PAN-OS quanto a configurações activas de captive portal
- Desactivação do portal de autenticação User-ID sempre que possível
- Limitação da permissão de acesso a intervalos de IP fidedignos como alternativa
- Vigilância reforçada dos sistemas afectados quanto a actividades suspeitas
- Planeamento da instalação das actualizações de acordo com as datas de disponibilidade
Perspectivas e estratégia de segurança de longo prazo
O caso evidencia a importância de uma estratégia de segurança em várias camadas. Além da instalação atempada de actualizações de segurança, as medidas preventivas de configuração e a monitorização contínua são indispensáveis.
As empresas devem verificar regularmente se as configurações das suas firewalls estão em conformidade com as boas práticas de segurança. A limitação dos acessos de administração a zonas de rede fidedignas pode reduzir consideravelmente o risco também em vulnerabilidades futuras.
A publicação faseada das actualizações ao longo de várias semanas deixa claro que as medidas de protecção temporárias têm de continuar a ser um elemento essencial da gestão da segurança.
