Kerngegevens
- Leverancier
- Palo Alto Networks
- Product
- PAN-OS
- Soort software
- firewall
- Getroffen versies
- PAN-OS 12.1 12.1.2 t/m 12.1.6, ouder dan 12.1.4-h5 of 12.1.7
- PAN-OS 11.2 ouder dan 11.2.4-h17, 11.2.7-h13, 11.2.10-h6 of 11.2.12
- PAN-OS 11.1 ouder dan 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 of 11.1.15
- PAN-OS 10.2 ouder dan 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 of 10.2.18-h6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- PAN-OS 12.1 12.1.4-h5 of 12.1.7
- PAN-OS 11.2 11.2.4-h17, 11.2.7-h13, 11.2.10-h6 of 11.2.12
- PAN-OS 11.1 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 of 11.1.15
- PAN-OS 10.2 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 of 10.2.18-h6
- CVE gepubliceerd
- 6 mei 2026
- Op de KEV-lijst sinds
- 6 mei 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In PAN-OS, het besturingssysteem van Palo Alto Networks-firewalls, zit een bufferoverloop in de User-ID Authentication Portal (ook Captive Portal genoemd). Een aanvaller hoeft niet in te loggen en kan met speciaal samengestelde netwerkpakketten eigen code uitvoeren met rootrechten. Het lek staat sinds mei 2026 op de lijst van actief misbruikte lekken (KEV) van de Amerikaanse overheidsdienst CISA.
Wie loopt risico?
Je bent alleen getroffen als twee dingen tegelijk gelden: de User-ID Authentication Portal staat aan (Device > User Identification > Authentication Portal Settings) én er hangt een interface management profile met Response Pages aan een L3-interface in een zone waar onbetrouwbaar verkeer binnenkomt, bijvoorbeeld internet. Volgens Palo Alto Networks is beperkt misbruik gezien tegen portals die vanaf internet of onbetrouwbare adressen bereikbaar waren. Prisma Access, Cloud NGFW en Panorama zijn niet getroffen.
Wat moet je doen?
Controleer of je getroffen bent
Kijk of de User-ID Authentication Portal aan staat en of Response Pages zijn ingeschakeld in een interface management profile op een L3-interface die verkeer van internet of andere onbetrouwbare zones ontvangt.
Werk PAN-OS bij
Installeer de hotfix voor jouw versie of de nieuwste release in je reeks: 12.1.7, 11.2.12, 11.1.15 of 10.2.18-h6 (of een van de hotfixes uit het advies). Een PAN-OS-versie zonder ondersteuning moet naar een ondersteunde versie met de oplossing.
Beperk de toegang tot de portal
Zet Response Pages uit op interface management profiles van interfaces die onbetrouwbaar verkeer ontvangen, en laat de portal alleen toe vanuit vertrouwde zones.
Schakel de portal uit als je hem niet nodig hebt
Gebruik je de User-ID Authentication Portal niet, zet hem dan uit.
Blokkeer misbruik met Threat Prevention
Heb je een Threat Prevention-abonnement, blokkeer dan Threat ID 510019 (content-versie 9097-10022 of nieuwer). Dit werkt vanaf PAN-OS 11.1.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een schrijfactie buiten de grenzen van een geheugenbuffer (CWE-787, bufferoverloop) in de User-ID Authentication Portal-service van PAN-OS. Een niet-geauthenticeerde aanvaller kan via het netwerk speciaal samengestelde pakketten naar de service sturen. Daarmee kan hij willekeurige code uitvoeren met rootrechten op de firewall. Er is geen gebruikersinteractie nodig en de aanvalscomplexiteit is laag. De CVSS 4.0-score is 9,3, toegekend door de CNA. Het lek is opgenomen in de KEV-lijst van CISA.
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:N/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:U/V:C/RE:M/U:Red- Zwakheid (CWE)
- CWE-787 · Schrijven buiten de grenzen van het geheugen (out-of-bounds write)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 41,7%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 6 mei 2026
- Deadline van CISA
- 9 mei 2026
- Gebruikt door ransomwaregroepen
- Niet bekend