CVE-2026-0258: PAN-OS: SSRF na obtenção de URL de certificado no IKEv2

Visão geral

A Palo Alto Networks descreve uma vulnerabilidade de falsificação de requisição do lado do servidor (CWE-918) na implementação do IKEv2 do PAN-OS. O registro associa o problema à obtenção de URLs de certificado durante o IKEv2. Detalhes técnicos além do registro estão no aviso do fabricante.

Impacto

Um atacante não autenticado pode fazer o firewall enviar requisições de rede para destinos não pretendidos.
A mesma vulnerabilidade pode causar uma condição de negação de serviço.
O registro informa que Panorama, Cloud NGFW e Prisma Access não são afetados.

Produtos e versões afetados

Palo Alto Networks PAN-OS: o registro lista um grande número de ramos de versão e builds de manutenção em várias linhas. Este portal não reproduz versões individuais; consulte a lista completa no aviso do fabricante.
O firmware Siemens Ruggedcom APE1808 consta no registro, com versões não especificadas pela fonte. Veja o aviso da Siemens.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada aparece nas fontes consultadas.
O registro traz valor de exploração SSVC igual a none e automatizável igual a no. A probabilidade EPSS é 0,00328.

Correção e mitigação

Revise o aviso do fabricante e aplique as builds corrigidas do PAN-OS para o seu ramo de versão. O registro não lista versões corrigidas, então não presuma que uma build está segura sem conferir o aviso.
Para os produtos Siemens Ruggedcom, siga as orientações do aviso da Siemens.
Limite a exposição dos serviços IKE a pares confiáveis, quando possível, e restrinja os caminhos de gerenciamento e de saída.
Teste as mudanças em ambiente de não produção antes de implantá-las.

Orientação de detecção

Revise os logs do firewall em busca de conexões de saída iniciadas pelo equipamento que não correspondam ao tráfego esperado de negócio ou gerenciamento.
Observe falhas incomuns de negociação IKE ou esgotamento inexplicado de recursos no firewall.
Correlacione o tráfego de saída originado no firewall com a atividade IKE para identificar destinos inesperados.

Limitações das informações disponíveis

O registro não fornece strings de versões corrigidas, condições exatas de disparo nem detalhes de prova de conceito, e esta análise não os acrescenta.
As versões afetadas do produto Siemens não são especificadas.
Se alguma configuração específica do IKEv2 é necessária para disparar o problema é desconhecido a partir do registro.
A data do EPSS no registro (2026-10-23) é posterior à data de publicação; verifique-a na fonte.

Perguntas frequentes

O que é a CVE-2026-0258?

Segundo o registro, é uma falsificação de requisição do lado do servidor na implementação do IKEv2 do PAN-OS, da Palo Alto Networks. Ela pode permitir que um atacante não autenticado faça o firewall enviar requisições a destinos não pretendidos ou causar negação de serviço.

Esta CVE é conhecida por ser explorada?

O registro indica que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais produtos são afetados?

O registro lista o PAN-OS em muitos ramos de versão e uma entrada de firmware Siemens Ruggedcom APE1808 com versões não especificadas. O registro informa que Panorama, Cloud NGFW e Prisma Access não são afetados.

O que os administradores devem fazer agora?

Consulte o aviso do fabricante para as builds corrigidas do seu ramo de versão, siga o aviso da Siemens se usar esse produto e reduza a exposição dos serviços IKE enquanto planeja as atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.