L’éditeur de cybersécurité Palo Alto Networks lance une nouvelle alerte de sévérité maximale. En effet, une zero-day critique frappe son système d’exploitation PAN-OS. De plus, des attaques sont déjà en cours dans la nature. Voici tout ce que vous devez savoir.
Comprendre la vulnérabilité
D’abord, il faut situer la faille. CVE-2026-0300 est un buffer overflow classé en CWE-787 (out-of-bounds write). Elle réside dans le service User-ID Authentication Portal, plus connu sous le nom de Captive Portal.
Concrètement, voici comment l’attaque fonctionne. Un attaquant envoie des paquets réseau spécialement conçus vers le portail. Ensuite, le service échoue à valider correctement la taille des données reçues. Par conséquent, le buffer déborde et écrase de la mémoire adjacente. Au final, l’attaquant obtient une exécution de code à distance avec les privilèges root.
Plusieurs caractéristiques rendent cette faille particulièrement redoutable :
- Aucune authentification requise.
- Aucune interaction utilisateur nécessaire.
- Aucune condition spéciale à remplir.
- Vecteur d’attaque réseau entièrement automatisable.
Ainsi, Palo Alto Networks lui attribue un score CVSS 4.0 de 9.3 (critique). Cependant, ce score descend à 8.7 si le portail est restreint aux IP internes de confiance.
Quels firewalls sont concernés ?
La vulnérabilité touche uniquement deux gammes de produits :
- les firewalls PA-Series (appliances physiques) ;
- les firewalls VM-Series (instances virtualisées).
De plus, vos appliances ne sont vulnérables que si le User-ID Authentication Portal est explicitement configuré. Par défaut, ce portail n’est pas activé. Pour vérifier sa configuration, rendez-vous dans : Device → User Identification → Authentication Portal Settings → Enable Authentication Portal.
Bonne nouvelle pour les utilisateurs cloud : Prisma Access, Cloud NGFW et Panorama ne sont pas affectés. Cette précision concerne donc principalement les déploiements on-premise.
Côté versions de PAN-OS, plusieurs branches sont vulnérables :
- PAN-OS 12.1 (avant 12.1.4-h5 et 12.1.7)
- PAN-OS 11.2 (plusieurs builds avant les hotfixes)
- PAN-OS 11.1 (avant 11.1.4-h33)
- PAN-OS 10.2 (avant 10.2.18-h6)
La chaîne d’exploitation en un coup d’œil
Le schéma ci-dessus illustre le flux d’attaque. Un simple flux de paquets malformés vers un portail exposé suffit. En quelques secondes, l’attaquant prend le contrôle complet du firewall.
Une exploitation déjà confirmée dans la nature
Palo Alto Networks parle officiellement d’« exploitation limitée » à ce jour. Toutefois, ce vocabulaire mérite décodage. En effet, dans le langage de l’éditeur, cela signifie généralement des attaques très ciblées par des acteurs sophistiqués. On pense notamment à des groupes étatiques ou APT.
L’éditeur précise également les conditions observées. Les portails ciblés étaient exposés à des adresses IP non fiables, voire directement à Internet. Cette configuration va à l’encontre des bonnes pratiques recommandées par Palo Alto. Cependant, certaines organisations s’écartent malheureusement de ces recommandations.
Par ailleurs, le contexte est préoccupant. Les firewalls Palo Alto sont des cibles de choix pour les attaquants. Pour rappel :
- 2024 : sept failles exploitées dans la nature, certaines par des États.
- 2025 : deux failles exploitées.
- Mai 2026 : cette nouvelle CVE-2026-0300 (la première de l’année activement exploitée).
À noter enfin : la CISA n’a pas encore inscrit CVE-2026-0300 à son catalogue KEV. Cependant, vu l’historique de Palo Alto (13 CVE déjà au catalogue), l’ajout devrait être imminent.
Mitigation : les actions immédiates
Les patchs ne sont pas encore tous disponibles. Cependant, plusieurs mesures permettent d’éliminer ou de réduire fortement le risque dès maintenant.
Action prioritaire 1 — Restreindre l’accès au portail. Limitez le User-ID Authentication Portal aux zones internes de confiance uniquement. Cette mesure abaisse le score CVSS de 9.3 à 8.7. Surtout, elle empêche les attaques opportunistes depuis Internet.
Action prioritaire 2 — Désactiver le Captive Portal. Si vous n’utilisez pas activement cette fonctionnalité, désactivez-la purement et simplement. C’est la mitigation la plus efficace.
Action prioritaire 3 — Vérifier l’exposition. Auditez vos firewalls. Cherchez ceux dont le portail est accessible depuis des IP non fiables. Par exemple, utilisez Shodan ou des scans internes pour identifier les expositions.
Action prioritaire 4 — Surveiller les logs. Inspectez les logs d’accès au Captive Portal. Cherchez du trafic anormal ou des paquets malformés. Vérifiez également la présence de processus suspects fonctionnant en root sur l’appliance.
Action prioritaire 5 — Patcher dès la sortie des correctifs. Palo Alto Networks travaille sur les hotfixes. Surveillez activement le bulletin officiel pour appliquer la mise à jour rapidement.
Pourquoi c’est particulièrement grave
Une compromission de firewall n’est pas une compromission ordinaire. En effet, le firewall constitue le point d’entrée du réseau. Par conséquent, sa prise de contrôle ouvre des perspectives terrifiantes :
- Pivot vers le réseau interne, en contournant toutes les autres défenses ;
- Vol des configurations, des règles, et parfois des identifiants ;
- Modification des règles pour ouvrir des portes dérobées discrètes ;
- Interception du trafic transitant par l’appliance ;
- Persistence longue durée sur un équipement souvent peu monitoré.
Ainsi, les groupes APT ciblent en priorité ce type d’équipement. La discrétion potentielle d’un implant sur un firewall reste en effet inégalée.
À retenir
CVE-2026-0300 envoie un signal clair. Tout d’abord, exposer une interface d’authentification à Internet reste une mauvaise idée, même chez les meilleurs éditeurs. Ensuite, les bonnes pratiques de durcissement (restriction par zone, MFA, accès via bastion) ne sont pas optionnelles. Enfin, la fenêtre d’exploitation entre la divulgation et la sortie des patchs reste la période la plus dangereuse.
Pour les équipes sécurité, la priorité est claire. Auditez vos expositions dès aujourd’hui. Restreignez le portail. Préparez-vous à patcher dès la disponibilité des correctifs.
