In Palo Alto Networks PAN-OS is een kritieke kwetsbaarheid (CVE-2026-0300) ontdekt die het mogelijk maakt voor ongeauthenticeerde aanvallers om op afstand code uit te voeren met rootrechten. Deze kwetsbaarheid bevindt zich in de User-ID Authentication Portal, ook wel Captive Portal genoemd, en wordt in beperkte mate al actief misbruikt, vooral wanneer deze dienst toegankelijk is vanaf onbetrouwbare netwerken of het publieke internet.

De kwetsbaarheid betreft een buffer overflow in de User-ID Authentication Portal service. Door het versturen van speciaal vervaardigde netwerkpakketten kan een aanvaller een out-of-bounds schrijfoperatie veroorzaken, wat leidt tot het uitvoeren van willekeurige code met rootprivileges op getroffen systemen. Hiervoor is geen authenticatie, gebruikersinteractie of bijzondere voorwaarden nodig, behalve netwerktoegang. Het risico op exploitatie neemt aanzienlijk toe wanneer de Authentication Portal extern toegankelijk is. Deze dienst wordt doorgaans gebruikt voor gebruikersidentificatie, zoals captive portals, maar wanneer deze vanaf het internet of onbetrouwbare netwerken bereikbaar is, vormt dit een ingang voor aanvallers.

De kwetsbaarheid heeft een CVSS-score van 9.3 en Palo Alto Networks heeft bevestigd dat er al beperkte exploitatie in het wild plaatsvindt gericht op blootgestelde systemen. Tot op heden zijn er slechts beperkte details openbaar gemaakt. Verdere updates en analyses zijn te volgen via het Wiz Threat Intel Center en de security advisory van Palo Alto.