PAN-OS: Εκμετάλλευση RCE ευπάθειας για κατασκοπεία

Η Palo Alto Networks αποκάλυψε ότι κακόβουλοι παράγοντες ενδέχεται να προσπάθησαν να εκμεταλλευτούν μια πρόσφατα αποκαλυφθείσα κρίσιμη ευπάθεια ασφαλείας. Οι απόπειρες εκμετάλλευσης μπορεί να ξεκίνησαν ήδη από τις 9 Απριλίου 2026. Η ευπάθεια, η οποία παρακολουθείται ως CVE-2026-0300 (βαθμολογία CVSS: 9.3/8.7), είναι μια ευπάθεια buffer overflow στην υπηρεσία User-ID Authentication Portal του Palo Alto Networks PAN-OS software. Η επιτυχής εκμετάλλευση θα μπορούσε να επιτρέψει σε έναν μη αυθεντικοποιημένο επιτιθέμενο να εκτελέσει αυθαίρετο κώδικα με δικαιώματα root στέλνοντας ειδικά διαμορφωμένα πακέτα.

Ενώ οι διορθώσεις αναμένεται να κυκλοφορήσουν από τις 13 Μαΐου 2026, οι πελάτες καλούνται να ασφαλίσουν την πρόσβαση στο User-ID Authentication Portal του PAN-OS περιορίζοντας την πρόσβαση σε αξιόπιστες ζώνες ή απενεργοποιώντας το εντελώς (αν κάτι τέτοιο είναι δυνατό).

Δείτε επίσης: Ivanti EPMM: Hackers εκμεταλλεύονται ευπάθεια RCE

Σε μια συμβουλευτική ανακοίνωση που εκδόθηκε την Τετάρτη, η εταιρεία δήλωσε ότι είναι ενήμερη για περιορισμένη εκμετάλλευση της ευπάθειας. Πίσω από τη δραστηριότητα βρίσκεται η CL-STA-1132, μια ύποπτη ομάδα απειλών άγνωστης προέλευσης.

“Ο επιτιθέμενος πίσω από αυτή τη δραστηριότητα εκμεταλλεύτηκε το CVE-2026-0300 για να επιτύχει μη αυθεντικοποιημένη απομακρυσμένη εκτέλεση κώδικα (RCE) στο λογισμικό PAN-OS. Μετά από επιτυχή εκμετάλλευση, ο επιτιθέμενος κατάφερε να εισάγει shellcode σε ένα nginx worker process“, δήλωσε η Palo Alto Networks Unit 42.

Η εταιρεία κυβερνοασφάλειας ανέφερε ότι παρατήρησε κάποιες ανεπιτυχείς προσπάθειες εκμετάλλευσης από τις 9 Απριλίου 2026, μετά τις οποίες οι επιτιθέμενοι κατάφεραν να επιτύχουν απομακρυσμένη εκτέλεση κώδικα κατά της συσκευής και να εισάγουν shellcode. Μόλις επιτεύχθηκε η αρχική πρόσβαση, οι κακόβουλοι παράγοντες έλαβαν μέτρα για να καθαρίσουν crash kernel messages, να διαγράψουν καταχωρήσεις και nginx crash records και να αφαιρέσουν crash core dump files.

Δείτε επίσης: Ευπάθεια Ollama επιτρέπει διαρροή ευαίσθητων πληροφοριών

Εκμετάλλευση ευπάθειας PAN-OS και επακόλουθη κακόβουλη δραστηριότητα

Οι δραστηριότητες μετά την εκμετάλλευση περιλάμβαναν την εκτέλεση Active Directory (AD) enumeration και την εγκατάσταση πρόσθετων payloads όπως τα EarthWorm και ReverseSocks5 κατά μιας δεύτερης συσκευής, στις 29 Απριλίου 2026. Και τα δύο εργαλεία έχουν χρησιμοποιηθεί προηγουμένως από διάφορες ομάδες χάκερ που συνδέονται με την Κίνα.

“Τα τελευταία πέντε χρόνια, οι κρατικοί παράγοντες απειλών που ασχολούνται με την κυβερνοκατασκοπεία, έχουν επικεντρώσει όλο και περισσότερο τις προσπάθειές τους σε edge-network technological assets, συμπεριλαμβανομένων των firewalls, routers, συσκευών IoT, hypervisors και διαφόρων λύσεων VPN, που παρέχουν πρόσβαση υψηλών προνομίων ενώ συχνά στερούνται της ισχυρής καταγραφής και των security agents που βρίσκονται σε τυπικά endpoints“, δήλωσε η Unit 42.

Δείτε επίσης: Gemini CLI: Κρίσιμη ευπάθεια επέτρεπε supply chain επιθέσεις

Η συγκεκριμένη υπόθεση αναδεικνύει πόσο γρήγορα μπορούν να αξιοποιηθούν κρίσιμες ευπάθειες σε υποδομές δικτύου υψηλής σημασίας, ακόμη και πριν ολοκληρωθεί η διάθεση των διορθώσεων. Η πιθανή στοχευμένη εκμετάλλευση του PAN-OS δείχνει ότι συστήματα, όπως τα firewalls, παραμένουν ιδιαίτερα ελκυστικός στόχος για επιτιθέμενους, καθώς προσφέρουν πρόσβαση σε ολόκληρα εταιρικά περιβάλλοντα όταν παραβιαστούν.

Παράλληλα, η εξέλιξη αυτή επιβεβαιώνει την αυξανόμενη πολυπλοκότητα των σύγχρονων επιθέσεων, όπου χρησιμοποιούνται τεχνικές αποφυγής εντοπισμού, εργαλεία ανοικτού κώδικα και επιμονή στο περιβάλλον του στόχου για εκτεταμένες περιόδους. Σε αυτό το πλαίσιο, η άμεση εφαρμογή ενημερώσεων, ο αυστηρός περιορισμός πρόσβασης και η ενισχυμένη παρακολούθηση δικτύου αποτελούν κρίσιμα μέτρα για τη μείωση του κινδύνου και τον περιορισμό πιθανών επιπτώσεων.