文章总结： PaloAltoNetworksPAN-OS存在高危远程代码执行漏洞CVE-2026-0300，CVSS评分9.3，攻击者无需认证即可通过User-ID认证端口获取防火墙root权限。该漏洞自2026年4月9日起已被野外利用，影响10.2至11.2等多个版本系列。文档提供了紧急修复指南，包括检查设备版本、限制端口访问、升级至修复版本等具体操作建议，并强调需立即行动以防网络被入侵。
综合评分： 85
文章分类： 漏洞分析,威胁情报,应急响应,解决方案,网络安全

---

正在被利用！Palo Alto防火墙RCE漏洞CVE-2026-0300，不认证就能拿 root

原创

RCS-TEAM安全团队
RCS-TEAM安全团队

RCS-TEAM

2026年5月8日 12:20
北京

在小说阅读器读本章

去阅读

🔥 正在被利用！Palo Alto 防火墙 RCE 漏洞 CVE-2026-0300，不认证就能拿 root

作者：数据织梦安全团队 | 2026-05-08

⚠️ 这不是演习。CVE-2026-0300 已经在野外被利用，影响全球数十万台 Palo Alto 防火墙。看完这篇文章，花 5 分钟检查一下你的设备。

---

一句话总结

Palo Alto Networks PAN-OS 存在一个 CVSS 9.3 的远程代码执行漏洞（CVE-2026-0300），攻击者无需任何认证即可通过 User-ID 认证端口获取防火墙 root 权限。该漏洞自 2026 年 4 月 9 日起就已被攻击者尝试利用，目前仍处于活跃利用状态。

---

发生了什么？

Palo Alto Networks 在 2026 年 5 月 6 日发布安全公告，披露了一个存在于 PAN-OS 软件中的缓冲区溢出漏洞。这个漏洞位于 User-ID Authentication Portal 服务中，编号 CVE-2026-0300。

简单说：你的防火墙有个端口专门处理用户身份认证，但这个端口的代码在处理某些特定请求时没有正确检查数据长度，导致缓冲区溢出。攻击者精心构造一个恶意请求发过去，就能在防火墙上执行任意代码——而且是 root 权限。

更让人后背发凉的是：

▪不需要认证（unauthenticated）

▪不需要任何有效账号

▪只要攻击者能访问到这个端口，就能直接拿下

---

漏洞细节

| 项目 | 详情 |
| — | — |
| CVE 编号 | CVE-2026-0300 |
| CVSS 评分 | 9.3（当 User-ID 认证端口对互联网开放时）/ 8.7（内网场景） |
| 影响组件 | PAN-OS User-ID Authentication Portal 服务 |
| 漏洞类型 | 缓冲区溢出（Buffer Overflow）→ 远程代码执行（RCE） |
| 认证要求 | 无需认证 |
| 利用状态 | ✅ 已在野外被利用（自 2026-04-09 起） |
| 影响版本 | PAN-OS 10.2、11.0、11.1、11.2 等多个版本系列 |
| 厂商 | Palo Alto Networks（全球最大防火墙厂商之一） |

---

为什么这个漏洞特别危险？

1. 防火墙本身就是安全底线

防火墙是你网络安全的最后一道防线。如果防火墙都被攻破了，攻击者可以：

▪绕过所有安全策略，直接访问内网

▪监听所有流量，窃取敏感数据

▪修改安全规则，给自己开后门

▪横向移动到整个内网

这就像你家防盗门被撬了，里面所有的保险箱都成了摆设。

2. 全球部署量巨大

Palo Alto Networks 是全球最大的下一代防火墙（NGFW）供应商之一。根据 Gartner 的报告，Palo Alto 连续多年在企业防火墙市场排名第一。全球有数十万台设备运行着 PAN-OS。

3. 大量设备的 User-ID 端口暴露在互联网

User-ID 认证端口（通常是 TCP 5007）在很多企业环境中被配置为对外暴露——原因包括：

▪远程办公需求，员工需要从外部认证

▪云部署时安全组配置不当

▪管理员图方便，没有做网络隔离

▪旧的配置文档没有更新

Shodan 和 Censys 上搜索暴露的 Palo Alto 设备，结果数以万计。

4. 漏洞利用门槛低

缓冲区溢出漏洞虽然听起来技术含量高，但：

▪漏洞类型是经典的 buffer overflow，利用思路成熟

▪攻击者从 4 月 9 日就开始尝试利用，说明利用代码可能已经在黑市流通

▪不需要任何认证信息，攻击者只需要知道目标 IP 和端口

5. 攻击者可以拿到 root 权限

拿到防火墙的 root 权限意味着什么？意味着这台设备完全归攻击者所有。攻击者可以：

▪安装后门程序，持久化控制

▪导出所有安全策略和配置

▪获取所有用户的认证信息

▪将防火墙变成攻击内网的跳板

---

真实攻击场景还原

假设你的公司用了 Palo Alto PA-3260 防火墙，User-ID 端口（TCP 5007）对互联网开放：

攻击者扫描互联网 → 发现你的防火墙 IP → 发送特制请求到 5007 端口 → 缓冲区溢出 → 获得 root shell → 下载所有安全策略 → 添加放行规则 → 横向渗透内网

整个过程可能只需要几分钟。

而且，Palo Alto 在公告中提到，攻击者从 2026 年 4 月 9 日就开始尝试利用这个漏洞了。这意味着在你读到这篇文章的时候，可能已经有攻击者潜伏在你的网络中了。

---

哪些版本受影响？

根据 Palo Alto Networks 官方公告，以下版本系列受到影响：

| PAN-OS 版本系列 | 受影响版本 | 修复版本 |
| — | — | — |
| 10.2 | 10.2.0 – 10.2.11 | 10.2.12 |
| 11.0 | 11.0.0 – 11.0.4 | 11.0.5 |
| 11.1 | 11.1.0 – 11.1.5 | 11.1.6 |
| 11.2 | 11.2.0 – 11.2.4 | 11.2.5 |

如果你的设备运行在上述受影响版本范围内，请立即升级！

---

🛡️ 紧急修复指南

第一步：立即检查你的设备版本

登录 Palo Alto 防火墙的 Web 管理界面，查看当前 PAN-OS 版本：

Device → Dashboard → 查看 "PAN-OS Version"

或者通过 CLI：

> show system info

查看输出中的 sw-version 字段。

第二步：检查 User-ID 端口是否暴露

检查防火墙的 User-ID 认证端口是否对互联网开放：

# 检查安全策略中是否允许外部访问 User-ID 端口 > show rule all | match userid  # 检查网络接口配置 > show interface all  # 检查是否有外部 IP 映射到 User-ID 端口 > show routing route

如果你发现 User-ID 端口（TCP 5007）对 untrust 区域（互联网）开放，这是高危配置。

第三步：应用临时缓解措施（如果暂时无法升级）

如果你暂时无法升级 PAN-OS，可以通过以下方式降低风险：

1. 限制 User-ID 端口访问

在防火墙上添加安全策略，只允许信任的 IP 段访问 User-ID 端口：

# 创建地址对象：允许的来源 IPset address "Trusted-User-ID-Sources" subnet 10.0.0.0/8 set address "Trusted-User-ID-Sources" subnet 192.168.0.0/16  # 创建安全策略：只允许信任来源访问 User-ID 端口set rulebase security rules "Allow-Trusted-User-ID"source"Trusted-User-ID-Sources" destination any set rulebase security rules "Allow-Trusted-User-ID" application userid set rulebase security rules "Allow-Trusted-User-ID" action allow set rulebase security rules "Allow-Trusted-User-ID" position top  # 禁用外部对 User-ID 端口的访问set rulebase security rules "Block-External-User-ID"source any destination any set rulebase security rules "Block-External-User-ID" application userid set rulebase security rules "Block-External-User-ID" action deny set rulebase security rules "Block-External-User-ID" position bottom

2. 关闭 User-ID 认证端口（如果不需要）

如果你的环境不需要 User-ID 认证功能：

# 禁用 User-ID 代理set deviceconfig system service user-id disable-source-addr-check no

3. 启用威胁防护特征库更新

确保你的威胁防护特征库是最新的，Palo Alto 可能已经发布了针对此漏洞的检测特征：

# 检查威胁特征库版本 > show system info | match threat  # 手动更新威胁特征库 > request content upgrade

第四步：升级到修复版本

这是最根本的解决方案：

# 检查可用更新 > request software check  # 下载修复版本（以 11.2.5 为例） > request software download version 11.2.5  # 安装新版本 > request software install version 11.2.5  # 重启设备 > request restart system

⚠️ 升级前务必备份配置！

# 备份配置 > export configuration to /tmp/pan-backup-$(date +%Y%m%d).xml  # 下载备份到本地 > export configuration local

---

🔍 如何检查是否已被入侵？

如果你怀疑设备可能已被利用，检查以下指标：

1. 检查异常日志

# 查看系统日志中的异常活动 > show system logs  # 查看威胁日志 > show threat logs  # 查看管理员操作日志 > show system logs type config

重点关注：

▪非管理员时间段的配置变更

▪未知来源的 IP 地址访问记录

▪异常的安全策略修改

2. 检查安全策略变更

# 查看最近的安全策略变更 > show rule all  # 对比已知的备份配置，检查是否有新增的放行规则

3. 检查网络连接

# 查看当前的活跃连接 > show session all &nbsp;# 查看是否有异常的外连连接 > show session all filter source <your-internal-subnet> destination any

4. 使用威胁情报检查

将你的防火墙 IP 在威胁情报平台中查询：

# 使用 VirusTotal 检查 IP# https://www.virustotal.com/gui/search/<your-firewall-ip># 使用 AbuseIPDB 检查# https://www.abuseipdb.com/check/<your-firewall-ip>

5. 检查是否有未知管理员账号

# 查看所有管理员账号 > show users all  # 检查是否有新增的未知管理员

---

📊 行业影响分析

这个漏洞的影响范围可能远超预期：

①企业网络：大量企业使用 Palo Alto 防火墙作为边界安全设备

②云环境：AWS/Azure/GCP 上的 VM-Series 虚拟防火墙同样受影响

③政府机构：多国政府使用 Palo Alto 设备保护关键基础设施

④金融机构：银行、证券等对安全要求极高的行业大量部署

根据 Shodan 的公开数据，全球有超过 50,000 台 Palo Alto 设备的管理界面暴露在互联网上。虽然管理界面和 User-ID 端口不同，但这说明了暴露面的广泛程度。

---

💡 安全建议

立即行动（今天）

☐检查你的 Palo Alto 防火墙版本

☐确认 User-ID 端口是否暴露在互联网

☐如果暴露，立即添加访问控制策略

☐检查近期日志，确认是否已有异常活动

本周内完成

☐制定升级计划，升级到修复版本

☐备份所有防火墙配置

☐在测试环境验证升级流程

☐更新安全策略文档

长期改进

☐建立定期的漏洞扫描和补丁管理流程

☐实施网络分段，减少单点故障影响

☐部署威胁检测和响应（EDR/XDR）方案

☐对安全设备进行定期的渗透测试

☐建立安全事件的应急响应预案

---

📌 参考来源

▪Palo Alto Networks 安全公告：CVE-2026-0300

▪The Hacker News 报道：PAN-OS RCE Exploit Under Active Use

▪NVD 数据库：CVE-2026-0300

---

数据织梦安全团队 提醒：安全无小事，及时修补漏洞是最好的防御。如果你使用 Palo Alto 防火墙，现在就去做检查，不要等到被攻击了才后悔。

📧 如有疑问，欢迎在评论区留言讨论。

---

本文仅供参考，不构成安全建议。实际操作请在测试环境中验证，并在维护窗口进行。

SECURITY · RCS-TEAM

关注 RCS-TEAM 安全团队

聚焦安全研究、漏洞分析、攻防技术与行业观察
         持续输出高质量安全内容

COMMUNITY · SECURITY GROUP

加入 RCS-TEAM 安全交流群

想继续交流漏洞分析、攻防实践和文章里的细节补充，欢迎扫码进群。

           群内会不定期分享复现思路、工具经验和最新讨论。

           扫码即可加入交流，二维码失效可在后台回复「加群」。

实战问题、漏洞思路、工具踩坑都可以在群里继续聊
         也欢迎直接反馈你想看的后续选题

扫码加入交流群

若二维码失效或群满，请在后台回复「加群」

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：RCS-TEAM RCS-TEAM安全团队
RCS-TEAM安全团队《正在被利用！Palo Alto防火墙RCE漏洞CVE-2026-0300，不认证就能拿 root》