Palo Alto Networks PAN-OS User-ID 인증 포털 버퍼 오버플로우 원격 코드 실행 취약점 (CVE-2026-0300)

1. 공식 보안 패치 적용

Palo Alto Networks의 공식 권고에 따라 사용 중인 PAN-OS 버전에 대응하는 최신 유지보수 패치 버전을 확인하고 즉시 업그레이드를 진행하십시오.

2. 임시 완화 조치 (Workaround)

즉각적인 패치 적용이 어려운 경우, 아래의 완화 조치를 적용하여 공격 표면을 최소화해야 합니다:

• 접근 제어 정책 적용: User-ID™ 인증 포털 서비스에 대한 접근을 신뢰할 수 있는 내부 IP 주소 대역으로만 제한합니다. 외부 인터넷(Any)으로부터의 접근을 차단하십시오.
• 보안 정책(Security Policy) 설정 예시:

  Source: Trust-Zone (Internal IPs)
  Destination: Untrust-Zone (Firewall Interface)
  Service: TCP/Secure-HTTP (Captive Portal Port)
  Action: Allow
  
  (그 외 외부 대역으로부터의 접근은 명시적으로 Deny 설정)

• 침입 방지 시스템(IPS) 활성화: Palo Alto Networks Threat Prevention 시그니처 중 본 취약점(CVE-2026-0300) 관련 탐지 룰이 활성화되어 있는지 확인하고 'Drop' 액션으로 설정하십시오.

본 취약점(CVE-2026-0300)은 Palo Alto Networks PAN-OS의 User-ID™ 인증 포털(Captive Portal) 서비스에서 발생하는 심각한 Out-of-bounds Write(CWE-787, 힙/스택 버퍼 오버플로우) 취약점입니다.

공격자는 별도의 인증 절차 없이 네트워크를 통해 특수하게 조작된 패킷을 대상 장비의 인증 포털 서비스 포트로 전송하는 방식으로 취약점을 악용할 수 있습니다. 이 과정에서 입력값에 대한 경계 검증(Boundary Validation) 미흡으로 인해 메모리 버퍼가 오버플로우되며, 최종적으로 시스템의 최고 권한인 root 권한으로 공격자가 의도한 임의의 명령어를 실행할 수 있게 됩니다.

이 취약점은 CVSS 3.1 기준 최고 위험도인 9.8 (Critical)을 기록하였으며, 실제 공격에 악용된 이력이 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었습니다. 외부 인터넷에 노출된 방화벽의 경우 즉각적인 침투 경로가 될 수 있으므로 매우 신속한 대응이 요구됩니다.