Luka w zaporach Palo Alto Networks. Kto jest narażony i jak się chronić?

W maju 2026 roku Palo Alto Networks poinformowało o krytycznej podatności w swoim oprogramowaniu zapór sieciowych. Luka oznaczona jako CVE-2026-0300 dotyczy komponentu User-ID Authentication Portal w urządzeniach serii PA i VM. Firma potwierdziła, że podatność była wykorzystywana jako zero-day, a dowody wskazują na działanie grup sponsorowanych przez państwo.

Poniżej wyjaśniamy szczegóły techniczne, skalę ryzyka oraz najważniejsze kroki ochronne dla administratorów w Polsce.

Czym jest CVE-2026-0300 i dlaczego jest groźna?

Podatność umożliwia niezautoryzowanemu atakującemu zdalne wykonanie kodu z uprawnieniami roota na podatnym urządzeniu. Oznacza to, że osoba atakująca może przejąć pełną kontrolę nad zaporą sieciową bez konieczności posiadania jakichkolwiek danych logowania.

Jak podaje SecurityWeek, powołując się na analizę Palo Alto Networks, pierwsze próby wykorzystania luki miały miejsce 9 kwietnia 2026 roku, ale początkowo były nieskuteczne. Tydzień później atakującym udało się przeprowadzić zdalne wykonanie kodu i wstrzyknięcie shellcode’u do procesu Nginx.

Badacze firmy wskazują, że ataki były prowadzone przez grupę oznaczoną jako CL-STA-1132, którą Palo Alto Networks określa jako „prawdopodobnie sponsorowaną przez państwo”. Mimo że producent nie wskazał wprost konkretnego kraju, zebrane dowody – w tym użycie narzędzi Earthworm i ReverseSocks5 – są charakterystyczne dla chińskich grup APT, takich jak Volt Typhoon i APT41.

Jak przebiegał atak z wykorzystaniem zero-day?

Palo Alto Networks w swoim raporcie szczegółowo opisało taktykę atakujących. Po uzyskaniu dostępu do zapory natychmiast podjęli działania mające na celu zamaskowanie śladów włamania. „Atakujący dokonali oczyszczenia logów, aby utrudnić wykrycie – usunęli komunikaty o awarii jądra systemu, wpisy dotyczące awarii Nginx oraz pliki zrzutów pamięci” – czytamy w analizie Palo Alto Networks.

Cztery dni po kompromitacji wdrożyli narzędzia z uprawnieniami roota i przystąpili do enumeracji Active Directory przy użyciu danych uwierzytelniających konta serwisowego zapory. Celem było uzyskanie dostępu do domeny głównej i stref DNS. Po zakończeniu enumeracji usunęli dowody ze śledzenia ptrace oraz binarny plik eskalacji uprawnień SUID.

Wykorzystane narzędzia – Earthworm do tunelowania sieciowego i ReverseSocks5 do omijania firewalli i NAT – są dobrze znane w środowisku cyberbezpieczeństwa. Jak zauważyli analitycy: „Poleganie na otwartoźródłowych narzędziach, a nie na autorskim złośliwym oprogramowaniu, zminimalizowało możliwość wykrycia na podstawie sygnatur i ułatwiło integrację ze środowiskiem ofiary”.

Które urządzenia są podatne i jakie są dostępne poprawki?

Podatność dotyczy zapór serii PA i VM z włączonym User-ID Authentication Portal. Palo Alto Networks opublikowało łatki w dwóch turach: pierwsza pojawiła się 13 maja, druga – 28 maja 2026 roku. Pełna lista załatanych wersji znajduje się w biuletynie bezpieczeństwa firmy.

Administratorzy powinni niezwłocznie sprawdzić wersję oprogramowania swoich urządzeń i zastosować aktualizację. Jeśli natychmiastowa aktualizacja nie jest możliwa, firma zaleca tymczasowe zabezpieczenia, w tym ograniczenie dostępu do interfejsu User-ID Authentication Portal i wdrożenie reguł filtrowania ruchu.

Warto podkreślić, że luka jest szczególnie niebezpieczna dla organizacji, które używają zapór Palo Alto Networks jako kluczowego elementu swojej infrastruktury sieciowej. Przejęcie kontroli nad firewallem może umożliwić atakującym obserwację ruchu, modyfikację reguł lub utworzenie tuneli do wnętrza sieci.

Jakie działania powinni podjąć administratorzy w Polsce?

Zalecenia dla zespołów IT i bezpieczeństwa są następujące:

• Natychmiast zaktualizuj oprogramowanie zapór do wersji wskazanej w biuletynie Palo Alto.
• Sprawdź logi pod kątem podejrzanych aktywności w okresie od 9 kwietnia do 13 maja 2026 – szczególnie nietypowych żądań HTTP do User-ID Authentication Portal.
• Oceń dostępność WebDialer – podobnie jak w przypadku luki CVE-2026-20230 w Cisco Unified CM, gdzie usługa domyślnie wyłączona redukuje ryzyko, zaleca się wyłączenie niepotrzebnych komponentów.
• Wzmocnij monitoring kont serwisowych i uprawnień w Active Directory.
• Przejrzyj polityki dostępu do interfejsów zarządzania firewallami.

Więcej informacji o procesie zgłaszania podatności przez CERT Polska można znaleźć w przypadku innej koordynowanej przez nich luki w oprogramowaniu Sparx Systems. W tamtym przypadku CERT zaznaczył, że „producent nie udzielił informacji na temat szczegółów podatności ani zakresu wersji podatnych na atak”, co pokazuje, jak ważne jest szybkie reagowanie nawet przy ograniczonej współpracy ze strony producenta.

Działania obronne nie kończą się na zastosowaniu łatki. W przypadku wykrycia śladów włamania należy przeprowadzić pełną analizę incydentu, zmienić wszystkie hasła i klucze oraz rozważyć rotację certyfikatów. Warto też monitorować komunikaty CERT Polska i Palo Alto Networks, które mogą ujawnić nowe informacje o skali kampanii.

Podatności w firewallach są szczególnie łakomym kąskiem dla zaawansowanych grup APT. Szybka reakcja administratorów może zdecydować o tym, czy atak zakończy się na pojedynczym urządzeniu, czy przerodzi w poważny wyciek danych.