CVE-2026-0300：Palo Alto PAN-OS 防火牆管理員而家要做乜

所謂 limited exploitation，唔代表可以慢慢等。Center for Internet Security 指，已觀察到的利用主要針對暴露予不受信任 IP 地址或公開互聯網的 User-ID Authentication Portal；如果客戶按最佳實務將敏感 portal 限制到可信內部網絡，風險會大幅降低 。Unit 42 亦指出，當 User-ID Authentication Portal 暴露於公開互聯網或不受信任網絡時，未經認證 RCE 風險會顯著上升 。

優先盤點邊啲系統

第一批要查的，是運行 PAN-OS、並已啟用 User-ID Authentication Portal/Captive Portal 的 Palo Alto Networks PA-Series 同 VM-Series 防火牆 。公開報道引述 Palo Alto 的評分指出：如果 portal 配置成可由互聯網或任何 untrusted network 存取，CVSS 為 9.3；如果只限 trusted internal IP 地址，嚴重度下降至 8.7 。但 8.7 仍然唔係收工訊號；內網限制只係降低風險，受影響系統仍要跟供應商建議的 PAN-OS 修補路徑處理 。

Unit 42 指 Prisma Access、Cloud NGFW 同 Panorama appliances 不受此漏洞影響 。呢點有助縮窄盤點範圍，但唔應該取代對 PA-Series、VM-Series 防火牆部署的審計，尤其係任何曾經將 Captive Portal 暴露予不受信任 IP 地址的環境 。

管理員今日要做的行動清單

1. 搵晒所有 User-ID Authentication Portal

先盤點所有 PAN-OS 防火牆，確認邊啲 PA-Series 同 VM-Series 裝置有啟用 User-ID Authentication Portal/Captive Portal 。逐部記低 portal 係可由公開互聯網接觸、由其他不受信任網絡接觸，定係只限可信內部 IP 範圍。凡係公網或 untrusted network 可達，都要放到最高優先，因為呢個配置下的利用風險明顯較高 。

2. 即刻收窄或停用 portal

將 User-ID Authentication Portal 限制到可信內部網絡。若果做唔到可靠限制，就先停用 portal，直至裝置完成修補。新加坡網絡安全局建議，受影響版本的用戶及管理員應在安全更新可用前，限制或停用 portal access 。

3. 打 patch 以 Palo Alto 官方公告為準

CERT-EU 建議在 patches 可用後盡快更新受影響 appliance，同時在此之前套用 workaround 同 mitigation 。版本判斷唔好只靠網上轉載的 fixed-version 表；你應以 Palo Alto Networks 的 CVE-2026-0300 官方 advisory 作為當前受影響版本、修補版本同分支指引的權威來源 。

4. 打完 patch 都要驗證暴露面

唔好假設軟件更新一完成，部署風險就自動消失。修補後要再確認 User-ID Authentication Portal 無暴露予公開互聯網或不受信任網絡；除非有清楚業務需要，而且已有文件化補償控制。將敏感 portal 限制到可信內部網絡，被描述為可大幅降低風險的最佳實務姿態 。

5. 曾經 exposed 的 firewall，要當可能中招去查

任何受影響防火牆，只要其 portal 曾經暴露予不受信任網絡，都應先做 compromise assessment，唔好即刻重新當佢完全可信。保留 logs、覆核 portal traffic、檢查有無異常配置變更，並搜尋 post-exploitation activity。原因好直接：成功利用此漏洞可令未經認證攻擊者在防火牆上取得 root-level code execution 。

美國聯邦機構：按 KEV/BOD 緊急流程處理

如果你係受 CISA KEV 流程管轄的美國聯邦團隊，CVE-2026-0300 唔只係一份供應商公告。加拿大網絡安全中心通報，CISA 已在 2026年5月6日將此漏洞加入 KEV 目錄 ；相關報道亦指出，聯邦機構須按 BOD 22-01 修復 KEV-listed vulnerabilities 。

機構團隊應保留完整證據鏈：資產發現紀錄、portal 已限制或停用的證明、patch 狀態、已安裝固定 PAN-OS 版本的驗證、無任何 untrusted network path 殘留的證據，以及每部曾暴露防火牆的 compromise assessment 結果。

如果暫時 patch 唔到

在相關部署的正確 fixed release 可用並完成安裝前，要維持 mitigation。若業務不能接受停用 Captive Portal，至少要限制到可信內部 IP 範圍並密切監察。若既不能 patch，又不能可靠限制，就應將防火牆從不受信任存取中隔離，或者移除該 exposed service，直至完成修復。殘餘風險係 network-reachable、unauthenticated、可自動化，而且已有 active exploitation 報告 。

唔好犯的錯

• 如果 portal 暴露於互聯網或不受信任網絡，唔好等下一個例行 maintenance window；可用 advisory 已將呢類配置描述為最高風險場景 。
• 唔好將 internal-only restriction 當成永久修復。它可以降低風險，但受影響設備仍然要跟適當 PAN-OS remediation path 處理 。
• 唔好以第三方 fixed-version list 作最終依據。版本同分支狀態要以 Palo Alto 官方 advisory 為準 。
• 如果 firewall 曾經在 exploitation period 暴露，唔好 patch 完就算。因為漏洞可造成 root 權限代碼執行，仍要完成 compromise review 。

最低安全姿態其實好清楚：移走 User-ID Authentication Portal 的 untrusted access，按 Palo Alto 官方公告修補，並在恢復正常信任前調查任何曾暴露的 firewall 。