CVE-2026-0300 Palo Alto PAN-OS : root sans login, et le patch arrive dans 7 jours

Root sur ton firewall. Sans authentification. Sans privilège. Avec un seul paquet réseau bien formé. C'est la promesse — pour un attaquant — de la CVE-2026-0300, divulguée le 6 mai 2026 et déjà exploitée en production. Le patch officiel ? Pas avant le 13 mai. Bienvenue dans la semaine qui va faire transpirer tous les RSSI dont l'infrastructure repose sur Palo Alto.

La faille : un buffer overflow dans le User-ID Authentication Portal

CVE-2026-0300 est un unauthenticated user-initiated buffer overflow dans le composant User-ID Authentication Portal (anciennement appelé Captive Portal) de PAN-OS. Score CVSS : 9.3 — critique. Vecteur d'attaque : NETWORK. Complexité : LOW. Privilèges requis : NONE. Interaction utilisateur : NONE.

Concrètement : un attaquant qui peut atteindre le portail captif au-dessus du réseau peut envoyer une requête HTTP/HTTPS spécifiquement formée qui provoque un débordement de tampon. Le débordement permet d'écraser des structures de contrôle du processus PAN-OS, donnant à l'attaquant l'exécution de code arbitraire avec les privilèges root sur le firewall.

À partir de ce point, tout est possible : interception du trafic, modification des règles de filtrage, ouverture de tunnels VPN inverses, pivot vers le réseau interne, exfiltration des configurations.

Quels équipements sont vulnérables

La vulnérabilité concerne :

• Les PA-Series (firewalls hardware Palo Alto Networks)
• Les VM-Series (firewalls virtualisés)

Condition nécessaire : le User-ID Authentication Portal doit être activé sur au moins une interface réseau. Si le portail captif n'est pas configuré, la faille n'est pas exploitable.

Les produits suivants ne sont pas affectés :

• Prisma Access (SASE cloud Palo Alto)
• Cloud NGFW
• Panorama (console de management)

Pourquoi le délai patch est si long

Palo Alto Networks a annoncé que les hotfixes et versions corrigées de PAN-OS seront déployés à partir du 13 mai 2026, avec un déploiement échelonné selon les branches (10.x, 11.x, 12.x). Soit une fenêtre de 7 jours minimum entre la divulgation et le premier correctif.

Cette fenêtre s'explique par la complexité du correctif — un buffer overflow dans un composant historiquement sensible (le portail captif gère l'authentification et le SSO de millions de sessions utilisateur) — et par les tests de non-régression nécessaires sur les multiples branches PAN-OS encore supportées.

C'est inhabituellement long pour une faille en exploitation active sur un produit aussi déployé. CISA, dans son ajout à la KEV le 6 mai, a contourné cette difficulté en imposant aux agences fédérales américaines la mitigation immédiate plutôt que d'attendre le patch.

L'exploitation observée

Les équipes de threat intelligence (Unit 42 de Palo Alto, Volexity, Mandiant) ont confirmé une exploitation limitée mais ciblée dès le 5 mai — la veille de la divulgation officielle, ce qui suggère que l'information sur la vulnérabilité circulait déjà sur les marchés gris quelques jours avant.

Les cibles observées : firewalls exposés à des IPs publiques ou à des réseaux non-fiables, principalement des organisations dans la finance, l'énergie et le secteur public. Les attaquants identifiés sont à ce stade des groupes APT avec une signature étatique, pas des botnets opportunistes — ce qui suggère que la phase de mass exploitation est encore à venir.

L'exploit est entièrement automatisable. Une fois libéré publiquement (probablement dans les 48h suivant la publication du patch), il sera intégré aux toolkits standards (Metasploit, Cobalt Strike) et balayé par les botnets de scan industriel. La fenêtre 6-13 mai est la phase d'exploitation ciblée. La fenêtre post-13 mai sera celle de l'exploitation de masse contre les retardataires.

Mitigations d'urgence : ce qu'il faut faire ce soir

En attendant le patch officiel du 13 mai, Palo Alto Networks recommande trois mesures qui rendent la faille non-exploitable :

1. Restreindre l'accès au User-ID Authentication Portal aux zones de confiance uniquement

Configuration → Network → Interfaces → [Interface concernée] → Advanced → Management Profile. Désactiver toute Management Profile qui autorise le portail captif sur des interfaces face à des zones non-fiables (Internet, partenaires, invités).

2. Désactiver les Response Pages

Configuration → Network → Network Profiles → Interface Mgmt. Décocher Response Pages sur tous les profils d'interface management attachés à des interfaces L3 où du trafic non-fiable peut entrer. Les Response Pages sont le mécanisme qui sert le portail captif. Sans elles, le composant vulnérable n'est plus joignable.

3. Filtrer les requêtes vers les ports 6080-6082 (par défaut)

Sur les load balancers ou les routeurs en amont du firewall, bloquer les ports utilisés par le portail captif (6080/HTTP, 6081/HTTPS, 6082/HTTPS-Browser-Challenge par défaut) depuis les IPs non-fiables.

Pour les organisations sans User-ID Portal configuré

Bonne nouvelle : si le portail captif n'a jamais été activé sur vos firewalls Palo Alto, vous n'êtes pas vulnérables. Vérifiez quand même. Une configuration héritée, une POC oubliée, ou une activation pour un événement particulier (Wi-Fi invité, hot-spot temporaire) suffit à exposer le composant.

Commande de vérification CLI :

show running interface | match captive-portal

Si la sortie est vide, vous êtes hors-périmètre. Sinon, traitez en priorité 1.

---

FAQ

Cette faille est-elle exploitable sans aucune authentification ?

Oui. C'est précisément ce qui la rend critique. L'attaquant n'a besoin d'aucune information préalable sur le firewall — il lui suffit que le port du portail captif soit joignable depuis sa position réseau. C'est ce profil qui justifie le score CVSS 9.3 et l'ajout immédiat à la KEV.

Mon firewall est-il vulnérable s'il n'est pas exposé à Internet ?

Réduit, mais pas nul. Si un attaquant accède au réseau interne (poste compromis, supply chain via VPN, accès physique invité), il peut déclencher l'exploitation. La règle de défense en profondeur s'applique : un firewall non-exposé n'est pas un firewall non-vulnérable, c'est un firewall avec un délai d'exposition différé.

Les pare-feu de génération précédente (PA-200, PA-500) sont-ils concernés ?

Tous les PA-Series qui exécutent une version supportée de PAN-OS sont concernés, y compris les anciennes générations encore en maintenance. Les modèles en End of Life qui ne reçoivent plus de mises à jour ne recevront probablement pas le hotfix — pour ceux-ci, la mitigation par désactivation du portail est la seule option durable.

Faut-il considérer un firewall déjà exposé comme compromis ?

Si le portail captif a été exposé à Internet entre la fin avril et aujourd'hui, oui — par défaut. Procédure recommandée : exporter et auditer la configuration courante pour détecter toute modification non autorisée (règles ajoutées, comptes admin créés, tunnels VPN nouveaux), comparer aux backups antérieurs au 1er mai, et rotation complète des credentials et certificats du firewall après application du patch.