Desbordamiento de búfer en User-ID Authentication Portal de Palo Alto

Fecha de publicación 06/05/2026

Identificador

INCIBE-2026-326

Importancia

5 - Crítica

Recursos Afectados

Cortafuegos PA-Series y VM-Series configurados para usar User-ID™ Authentication Portal.

Para confirmar si User-ID™ Authentication Portal está configurado en su equipo; en la página de Configuración de User-ID™ Authentication Portal vaya a: Dispositivo > Identificación de usuario > Configuración de la Autenticación del Protal > Permitir la Autenticación del Portal (Device > User Identification > Authentication Portal Settings -> Enable Authentication Portal).

Los productos afectados dentro de esta configuración son:

PAN-OS 12.1, versiones anteriores a:
- 12.1.4-h5;
- 12.1.7;
PAN-OS 11.2, versiones anteriores a:
- 11.2.4-h17;
- 11.2.7-h13;
- 11.2.10-h6;
- 11.2.12;
PAN-OS 11.1, versiones anteriores a:
- 11.1.4-h33;
- 11.1.6-h32;
- 11.1.7-h6;
- 11.1.10-h25;
- 11.1.13-h5;
- 11.1.15;
PAN-OS 10.2, versiones anteriores a:
- 10.2.7-h34;
- 10.2.10-h36;
- 10.2.13-h21;
- 10.2.16-h7;
- 10.2.18-h6

Descripción

Palo Alto ha informado de una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un atacante, no autenticado, ejecutar código arbitrario con privilegios de root.

Solución

En los próximos días, indicado entre paréntesis el día estimado de lanzamiento, actualizar el producto a alguna de las siguientes versiones o superiores:

PAN-OS 12.1:
- 12.1.4-h5 (13-mayo);
- 12.1.7 (28-mayo);
PAN-OS 11.2:
- 11.2.4-h17 (28-mayo);
- 11.2.7-h13 (13-mayo);
- 11.2.10-h6 (13-mayo)
- 11.2.12 (28-mayo);
PAN-OS 11.1:
- 11.1.4-h33 (13-mayo);
- 11.1.6-h32 (13-mayo);
- 11.1.7-h6 (28-mayo);
- 11.1.10-h25 (13-mayo);
- 11.1.13-h5 (13-mayo);
- 11.1.15 (28-mayo)
PAN-OS 10.2:
- 10.2.7-h34 (28-mayo);
- 10.2.10-h36 (13-mayo);
- 10.2.13-h21 (28-mayo);
- 10.2.16-h7 (28-mayo);
- 10.2.18-h6 (13-mayo).

Mientras tanto, es posible mitigar el riesgo de esta vulnerabilidad realizando alguna de las siguientes acciones:

Restringir el acceso a User-ID™ Authentication Portal únicamente a zonas de confianza.
Deshabilite User-ID™ Authentication Portal si no necesita utilizarlo.

Detalle

CVE-2026-0300: una vulnerabilidad de desbordamiento del búfer en el servicio User-ID™ Authentication Portal, anteriormente conocido como Captive Portal, de Palo Alto Networks PAN-OS permite a atacantes, no autenticados, ejecutar código arbitrario con privilegios de root en los cortafuegos PA-Series y VM-Series al enviar paquetes especialmente manipulados.

Palo Alto informa de que tienen conocimiento de que esta vulnerabilidad está siendo explotada cuando User-ID™ Authentication Portals está expuesta a direcciones IP que no son de confianza y/o Internet abierta.

CVE