CVE-2026-0263: PAN-OS: estouro de buffer no processamento IKEv2 leva à execução remota de código
A CVE-2026-0263 é um estouro de buffer no processamento IKEv2 do PAN-OS, da Palo Alto Networks. Segundo o fabricante, ela permite que um atacante não autenticado na rede execute código com privilégios elevados no firewall ou cause negação de serviço. A NVD atribui nota 9,8 no CVSS 3.1 e o CNA informa 7,2 no CVSS 4.0; o registro não indica inclusão no catálogo KEV nem dados de versão corrigida, por isso a remediação deve seguir o aviso do fabricante.
Visão geral
A CVE-2026-0263 afeta o componente de processamento IKEv2 do PAN-OS, o sistema operacional dos firewalls da Palo Alto Networks. A fraqueza é classificada como CWE-787 (escrita fora dos limites), e o aviso do fabricante descreve um estouro de buffer que pode ser acionado pela rede sem autenticação. O fabricante informa que Panorama, Cloud NGFW e Prisma Access não são afetados.
Impacto
- Segundo o fabricante, um atacante não autenticado na rede poderia executar código arbitrário com privilégios elevados no firewall.
- O fabricante também indica que a falha pode causar uma condição de negação de serviço.
- A NVD classifica o problema com nota 9,8 (Crítica) no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. O CNA atribui nota 7,2 no CVSS 4.0.
Produtos e versões afetadas
- Produto: Palo Alto Networks PAN-OS.
- O registro lista muitas versões do PAN-OS nas linhas 11.1 e 11.2 e algumas da 12.1, usando intervalos como de 11.1.0 até antes de 11.1.15 e de 11.2.0 em diante, conforme registrado.
- O registro não traz uma lista limpa de versões corrigidas. Consulte o aviso do fabricante para as versões afetadas e corrigidas oficiais.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. A probabilidade EPSS é 0,00373 (percentil 0,30036), e os campos SSVC indicam exploração como none e automatizável como no. Nenhuma exploração confirmada aparece nas fontes consultadas.
Remediação e mitigação
- Identifique todos os dispositivos PAN-OS do seu ambiente e compare as versões com a lista de afetadas do aviso do fabricante.
- Planeje a atualização para uma versão que o fabricante marque como não afetada, já que o registro não informa uma versão corrigida.
- Até a correção, restrinja a exposição dos serviços IKE e IPsec a pares confiáveis e reduza o alcance desnecessário das portas de negociação VPN a partir de redes não confiáveis.
- Siga as orientações do fabricante para qualquer mitigação temporária que ele publicar.
Orientações de detecção
- Revise logs de gerenciamento e de sistema do firewall em busca de travamentos, reinicializações ou falhas inesperadas do componente IKE.
- Monitore o tráfego de negociação IKE para volumes ou formatos incomuns vindos de origens não confiáveis.
- Correlacione alterações de configuração inesperadas ou novas sessões administrativas após atividade VPN anômala.
Limitações das informações disponíveis
O registro não inclui versões corrigidas, condições técnicas detalhadas de exploração além do resumo do fabricante, nem medidas de contorno publicadas pelo fabricante. O vetor CVSS 4.0 não é fornecido, apenas a nota. Essas lacunas devem ser resolvidas consultando o aviso do fabricante.
Perguntas frequentes
Este CVE afeta Panorama, Cloud NGFW ou Prisma Access?
Segundo a descrição do registro, o fabricante informa que Panorama, Cloud NGFW e Prisma Access não são afetados por essas vulnerabilidades.
Há uma versão corrigida confirmada?
O registro não lista versões corrigidas. Consulte o aviso do fabricante em security.paloaltonetworks.com para as versões corrigidas oficiais.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.