W środę 6 maja CERT Polska ostrzegł przed podatnością CVE-2026-0300 w User-ID Authentication Portal systemu PAN-OS. Komunikat wskazuje możliwość wykonania kodu bez uwierzytelnienia, a według producenta luka jest aktywnie wykorzystywana. W stanie opisanym 6 maja pełnej poprawki nie było, więc właściciel zapory musi zdecydować o ograniczeniu dostępu do portalu, zanim będzie mógł zatwierdzić aktualizację.

Kto w twojej organizacji może dziś zdecydować, że portal uwierzytelniania na zaporze PAN-OS przestaje być dostępny dla części użytkowników? Zła odpowiedź brzmi: „administrator wgra poprawkę, gdy tylko się pojawi”. Zakłada ona, że cała decyzja sprowadza się do aktualizacji. Komunikat CERT Polska z 6 maja opisuje sytuację, w której ta droga nie była w pełni dostępna, a podatność według producenta już wykorzystywano w atakach. Do czasu pełnej poprawki pozostaje więc decyzja o ekspozycji: komu i skąd portal ma być osiągalny. Wymaga ona właściciela, który ją podejmie, administratora, który ją wykona, oraz osoby, która potwierdzi, że ograniczenie faktycznie działa. W czwartek 7 maja sprawdź, czy każda z tych trzech ról ma przypisane nazwisko i zastępcę.

CVE-2026-0300 dotyczy portalu, przez który użytkownik dopiero się loguje

Jak podaje CERT Polska, podatność CVE-2026-0300 występuje w komponencie User-ID Authentication Portal systemu PAN-OS. Komunikat wskazuje możliwość wykonania kodu przez atakującego, który nie musi się uwierzytelnić. Do próby ataku nie jest więc potrzebne konto ani hasło. Potrzebna jest natomiast możliwość połączenia z portalem.

Ten tekst nie rozstrzyga, jak dokładnie przebiega atak. Do decyzji zarządczej wystarczą trzy ustalenia z komunikatu z 6 maja: nazwa komponentu, brak wymogu uwierzytelnienia i aktywne wykorzystywanie według producenta. Nazwa komponentu wskazuje, że użytkownik dopiero się tu uwierzytelnia. Silne hasła i konta użytkowników nie zmieniają tu oceny, bo wykorzystanie luki ich nie wymaga.

Z tego wynika pierwsze pytanie do administratora PAN-OS: na których zaporach portal jest używany i z jakich sieci można się z nim połączyć? Odpowiedź powinna wskazywać konkretne urządzenia. Ogólne „portal jest tylko dla pracowników” opisuje zamiar; potrzebny jest opis stanu konfiguracji.

Przy luce bez wymogu logowania o ryzyku decyduje lista miejsc, z których da się połączyć z portalem.

Procedura „czekamy na łatkę” nie ma kroku na 6 maja

Sprawdź, od czego zaczyna się procedura zarządzania podatnościami w twojej organizacji. Jeśli pierwszym krokiem jest wydanie poprawki przez producenta, to dla CVE-2026-0300 w stanie z 6 maja procedura nie miała od czego wystartować. Zgłoszenie mogło trafić do kolejki aktualizacji i czekać tam na pakiet, którego jeszcze nie było w pełnej postaci.

Tymczasem aktywne wykorzystywanie oznacza, że czas oczekiwania biegnie także po stronie atakujących. Procedura bez kroku pośredniego zostawia administratora z wyborem między samodzielnym ograniczeniem dostępu a czekaniem. Pierwsza opcja może przerwać pracę użytkowników bez niczyjej zgody. Druga pozostawia portal osiągalny tak samo jak przed komunikatem.

Dopisz do procedury etap „decyzja o ograniczeniu ekspozycji przed poprawką” i wskaż, kto go uruchamia. Ten etap powinien mieć własny status w zgłoszeniu, oddzielny od statusu aktualizacji.

Ograniczenie dostępu do portalu PAN-OS wymaga właściciela i potwierdzenia

Zawężenie dostępu do User-ID Authentication Portal zmienia warunki pracy użytkowników, więc decyzja należy do właściciela zapory albo usługi, która z portalu korzysta. Administrator przygotowuje opis zmiany: które zapory PAN-OS, z jakich sieci portal pozostanie osiągalny, kogo dotknie ograniczenie. Właściciel zatwierdza zakres i przyjmuje skutki. Koszt takiej zmiany trzeba oszacować w konkretnej organizacji; poproś właściciela o wskazanie grup użytkowników, którym ograniczenie utrudni pracę.

Drugi krok to potwierdzenie. Wpis „dostęp ograniczony” w zgłoszeniu nie mówi jeszcze, czy portal przestał być osiągalny z miejsc wyłączonych decyzją. Sprawdzenie powinna wykonać osoba inna niż wykonawca zmiany, z datą i opisem, skąd próbowano się połączyć. Dopiero wtedy mitygację można zapisać jako potwierdzoną.

Trzeci krok to poprawka. Gdy pojawi się pełna poprawka dla CVE-2026-0300, ktoś musi ją wdrożyć, a osoba niezależna od wykonawcy sprawdzić wynik i zapisać go w zgłoszeniu.

Ograniczenie dostępu wpisane do zgłoszenia, ale niesprawdzone, pozostaje deklaracją.

Komunikat CERT Polska z 6 maja wyznacza podstawę decyzji

Polskim punktem odniesienia jest alert CERT Polska zatytułowany „Krytyczna podatność w oprogramowaniu PAN-OS”, opublikowany 6 maja 2026 r. Informacja o braku pełnej poprawki odnosi się do stanu opisanego w tym komunikacie. Późniejsze informacje producenta mogą ten stan zmienić, dlatego w zgłoszeniu zapisz datę komunikatu, na którym oparto decyzję o ograniczeniu dostępu.

Monitorowanie dalszych informacji o CVE-2026-0300 przypisz konkretnej osobie. Ustal, gdzie będzie sprawdzać nowe dane, kiedy wykona kolejny odczyt i komu przekaże wynik. Każda zmiana stanu poprawki powinna wracać do właściciela zapory jako pytanie o kolejne kroki: wdrożenie i weryfikację poprawki.

Co z tym zrobić w poniedziałek

Na każdy punkt przeznacz do 30 minut. Celem jest przypisanie odpowiedzialności i zapisanie decyzji; same zmiany konfiguracji wykonuje administrator w zatwierdzonym zakresie.

  1. Ustal właściciela i stan portalu. Poproś administratora o listę zapór PAN-OS, na których działa User-ID Authentication Portal, wraz z sieciami, z których portal jest osiągalny. Przy każdym urządzeniu wpisz właściciela i jego zastępcę.
  2. Zatwierdź tymczasowe ograniczenie dostępu. Przedstaw właścicielowi opis proponowanego zawężenia dostępu do portalu i grupy użytkowników, których dotknie. Zapisz decyzję, datę oraz podstawę: komunikat CERT Polska z 6 maja o CVE-2026-0300.
  3. Potwierdź mitygację i wyznacz kontrolę poprawki. Wskaż osobę inną niż wykonawca, która sprawdzi, czy portal przestał być osiągalny z wyłączonych miejsc. Przypisz też monitorowanie informacji producenta o pełnej poprawce, z terminem następnego odczytu i odbiorcą wyniku.

Brak poprawki nie zwalnia z decyzji, zmienia tylko jej przedmiot: z aktualizacji na ekspozycję portalu. Organizacja, która 7 maja potrafi wskazać właściciela zapory PAN-OS, zakres ograniczenia i osobę, która je sprawdziła, ma kontrolę nad czasem do pełnej poprawki.

Źródła

  1. CERT Polska: Krytyczna podatność w oprogramowaniu PAN-OS, publikacja: 6 maja 2026 r. Informacja o braku poprawki odnosi się do stanu opisanego w tym komunikacie.

Redakcja cyberinsight.pl.