Una nuova vulnerabilità critica, identificata come CVE-2026-0300, colpisce i firewall Palo Alto Networks e consente a un attaccante non autenticato di ottenere privilegi di root sul dispositivo. Per le aziende italiane che usano PAN-OS come perimetro di sicurezza, è una situazione da gestire con la massima urgenza.
Cosa è il bug CVE-2026-0300 sui firewall Palo Alto
CVE-2026-0300 è una vulnerabilità critica del sistema operativo PAN-OS, che gestisce i firewall di Palo Alto Networks. La falla consente a un attaccante non autenticato di eseguire codice con privilegi di root sul firewall, trasformando il dispositivo di sicurezza in un punto di ingresso diretto verso la rete aziendale.
La vulnerabilità interessa il servizio User-ID Authentication Portal (Captive Portal / GlobalProtect), il modulo che gestisce l'autenticazione degli utenti remoti per l'accesso alla rete. Se il portale è esposto su Internet o su una rete poco controllata, un solo pacchetto malevolo può bastare per compromettere l'intero appliance.
Quali versioni PAN-OS sono vulnerabili
Secondo Palo Alto, i seguenti rami di PAN-OS sono vulnerabili:
- PAN-OS 10.2
- PAN-OS 11.1
- PAN-OS 11.2
- PAN-OS 12.1
Le versioni a rischio sono tutte quelle precedenti a:
- 10.2.18-h6
- 11.1.15
- 11.2.12
- 12.1.7
(e alcune build intermedie indicate nel bollettino ufficiale).
Il punteggio CVSS varia in base alla configurazione:
- fino a 9,3 su 10 se il portale User-ID è esposto su Internet (critico);
- attorno a 8,7 se il servizio è accessibile solo da rete interna trusted.
Impatto della vulnerabilità per le aziende italiane
Un firewall Palo Alto compromesso a livello di root può:
- modificare policy di sicurezza, regole NAT e rotte di rete, nascondendo traffico malevolo;
- disabilitare o manipolare logging e monitoraggio, ostacolando rilevazione e forense;
- diventare un punto di pivot per attacchi verso server interni, database e applicazioni critiche.
Per le aziende italiane che usano Palo Alto come:
- gateway di uscita Internet,
- firewall per data center e cloud ibrido,
- nodo di accesso remoto per filiali e lavoratori da casa,
questa vulnerabilità si traduce in un rischio operativo elevato e in un potenziale non-compliance rispetto a framework NIS2 e obblighi di risk management.
Mitigazioni immediate prima del patch
Finché le patch non sono rilasciate o non sono state applicate su tutti i dispositivi, ti consigliamo di:
Limitare l'esposizione del portale User-ID
Rimuovere l'accesso pubblico dal perimetro se non necessario e consentirlo solo da IP o subnet interne affidabili.
Disabilitare il servizio se non usato
Se il captive portal non è attivo, disabilitare il User-ID Authentication Portal sul firewall.
Verificare le policy di perimetro
Bloccare il traffico diretto verso il listener User-ID dal lato esterno e analizzare i log per connessioni anomale.
Preparare il piano di upgrade PAN-OS
Identificare tutti i firewall PA/VM, pianificare maintenance, backup configurazioni e procedure di rollback.
Best practice per la sicurezza dei firewall Palo Alto
Oltre a questa vulnerabilità specifica, vale la pena consolidare alcune best practice di base:
- Asset inventory aggiornato: mappa tutti i firewall, versioni, interfacce esposte e servizi abilitati.
- Hardening dei servizi di gestione: limita l'accesso SSH, HTTPS e API ai soli IP autorizzati e usa account con privilegi minimi.
- Monitoring continuo: integra i log PAN-OS in SIEM o piattaforma cloud per correlare eventi di control plane e data plane.
- Politiche di patching strutturate: definisci una policy formale per gli aggiornamenti PAN-OS, con test in staging e rollout graduale.
Come Delta Infor può aiutarti a proteggere la tua infrastruttura
Se il tuo ambiente include firewall Palo Alto con PAN-OS 10.2, 11.1, 11.2 o 12.1, è fondamentale:
- verificare subito se il portale User-ID è esposto sul perimetro;
- confermare la versione corrente e la compatibilità con le patch;
- pianificare un percorso di hardening e aggiornamento in linea con normative e policy interne.
Delta Infor può supportarti con:
- audit di sicurezza sui firewall Palo Alto (configurazioni, policy, servizi abilitati);
- piano di patching PAN-OS con strategia di rollout e rollback nell'ambito dei nostri servizi di Infrastrutture Sicure;
- documentazione tecnica e report per C-level/CISO, con priorità di rischio e KPI di mitigazione, integrati nei percorsi di Compliance & Governance.
