B
今週中
国家支援が疑われる攻撃グループCL-STA-1132が、Palo Alto PAN-OSの0Day脆弱性（CVE-2026-0300）を数週間にわたり悪用してい…
📌 一言でいうと
国家支援が疑われる攻撃グループCL-STA-1132が、Palo Alto PAN-OSの0Day脆弱性（CVE-2026-0300）を数週間にわたり悪用していることが判明しました。この脆弱性はUser-ID認証ポータルにおけるバッファオーバーフローであり、未認証の攻撃者がroot権限でリモートコード実行（RCE）を行うことが可能です。攻撃者はEarthWormなどのトンネリングツールを導入し、Active Directoryの探索やログ消去による痕跡隠蔽を行っています。
🔍該当判定
- Palo Alto製の次世代ファイアウォール（PAシリーズまたはVMシリーズ）を利用している
- PAN-OSのバージョンが 11.1 / 11.2 / 12.1 のいずれかである
- User-ID認証ポータル機能を有効にし、インターネットからアクセス可能な状態で公開している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. PAN-OSを最新の修正済みバージョンへアップデートすること。2. User-ID認証ポータルへのアクセスを信頼できる内部IPアドレスのみに制限すること。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Palo Alto PAN-OS CVE-2026-0300 対応について
お疲れさまです。Palo Alto PAN-OSの深刻な脆弱性に関する情報共有です。
■ 概要
User-ID認証ポータルにおけるバッファオーバーフローの脆弱性（CVE-2026-0300）が悪用されています。未認証の攻撃者がroot権限でリモートコード実行（RCE）を行うことが可能であり、国家支援の攻撃グループによる実利用が確認されています。
■ 影響範囲
- PAN-OS 12.1, 11.2, 11.1 の特定バージョン（詳細はベンダーアドバイザリ参照）
- User-ID認証ポータルをインターネットに公開している環境
■ 対応手順
1. 影響を受けるPAN-OSバージョンを確認し、最新の修正パッチを適用してください。
2. User-ID認証ポータルへのアクセスを、信頼できる内部IPアドレスのみに制限する設定を適用してください。
3. ログの不自然な消去や、EarthWorm/ReverseSocks5等のツール導入の形跡がないか確認してください。
■ 参考情報
- Palo Alto Networks Unit 42 アドバイザリ
対応優先度: 高
対応期限: 至急
お疲れさまです。Palo Alto PAN-OSの深刻な脆弱性に関する情報共有です。
■ 概要
User-ID認証ポータルにおけるバッファオーバーフローの脆弱性（CVE-2026-0300）が悪用されています。未認証の攻撃者がroot権限でリモートコード実行（RCE）を行うことが可能であり、国家支援の攻撃グループによる実利用が確認されています。
■ 影響範囲
- PAN-OS 12.1, 11.2, 11.1 の特定バージョン（詳細はベンダーアドバイザリ参照）
- User-ID認証ポータルをインターネットに公開している環境
■ 対応手順
1. 影響を受けるPAN-OSバージョンを確認し、最新の修正パッチを適用してください。
2. User-ID認証ポータルへのアクセスを、信頼できる内部IPアドレスのみに制限する設定を適用してください。
3. ログの不自然な消去や、EarthWorm/ReverseSocks5等のツール導入の形跡がないか確認してください。
■ 参考情報
- Palo Alto Networks Unit 42 アドバイザリ
対応優先度: 高
対応期限: 至急
Subject: [Urgent] Palo Alto PAN-OS CVE-2026-0300 Mitigation
Dear Team,
We are sharing critical information regarding a 0-day vulnerability in Palo Alto PAN-OS.
■ Overview
A buffer overflow vulnerability (CVE-2026-0300) in the User-ID authentication portal is being actively exploited by a state-sponsored actor (CL-STA-1132). This allows unauthenticated remote code execution (RCE) with root privileges.
■ Scope
- Affected versions: PAN-OS 12.1, 11.2, 11.1 (refer to vendor documentation for specific build numbers).
- Environments with the User-ID authentication portal exposed to the internet.
■ Mitigation Steps
1. Update PAN-OS to the latest patched version immediately.
2. Restrict access to the User-ID authentication portal to trusted internal IP addresses only.
3. Inspect systems for indicators of compromise, such as the presence of EarthWorm or ReverseSocks5 tools and systematic log deletion.
■ Reference
- Palo Alto Networks Unit 42 Advisory
Priority: High
Deadline: Immediate
Dear Team,
We are sharing critical information regarding a 0-day vulnerability in Palo Alto PAN-OS.
■ Overview
A buffer overflow vulnerability (CVE-2026-0300) in the User-ID authentication portal is being actively exploited by a state-sponsored actor (CL-STA-1132). This allows unauthenticated remote code execution (RCE) with root privileges.
■ Scope
- Affected versions: PAN-OS 12.1, 11.2, 11.1 (refer to vendor documentation for specific build numbers).
- Environments with the User-ID authentication portal exposed to the internet.
■ Mitigation Steps
1. Update PAN-OS to the latest patched version immediately.
2. Restrict access to the User-ID authentication portal to trusted internal IP addresses only.
3. Inspect systems for indicators of compromise, such as the presence of EarthWorm or ReverseSocks5 tools and systematic log deletion.
■ Reference
- Palo Alto Networks Unit 42 Advisory
Priority: High
Deadline: Immediate