CVE-2026-0264: Estouro de buffer baseado em heap no DNS Proxy e DNS Server do PAN-OS
Um estouro de buffer baseado em heap nos recursos DNS proxy e DNS Server do PAN-OS da Palo Alto Networks pode ser acionado por tráfego de rede sem autenticação. O fabricante descreve negação de serviço na maioria das plataformas PAN-OS e possível execução de código apenas em hardware da série PA. A pontuação base da NVD é 9.8 (crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-0264 é um estouro de buffer baseado em heap (CWE-122) nos recursos DNS proxy e DNS Server do PAN-OS da Palo Alto Networks. O registro atribui o CNA ao fabricante e indica pontuação base de 9.8 (crítica) na NVD.
Impacto
- O fabricante afirma que um atacante não autenticado com acesso à rede pode causar negação de serviço em todas as plataformas PAN-OS, exceto Cloud NGFW e Prisma Access.
- O fabricante afirma que a execução de código é potencialmente possível, mas apenas em hardware da série PA.
- Panorama, Cloud NGFW e Prisma Access são informados como não afetados.
Produtos e versões afetadas
- O registro lista um conjunto extenso de faixas de versões e hotfixes do PAN-OS como afetadas. Como os textos estão longos e parcialmente inconsistentes, este portal não os reproduz; consulte o aviso do fabricante para a lista oficial.
- Um aviso de terceiros da Siemens cita o firmware Ruggedcom APE1808, com versões afetadas não especificadas pela fonte.
- O registro não informa versões corrigidas. A ausência desse dado não significa que não exista correção.
Status de exploração
- O catálogo KEV da CISA não lista esta CVE no registro analisado.
- A exploração no modelo SSVC está registrada como none e a automatização como no.
- Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é de cerca de 0,47 por cento.
Correção e mitigação
- Consulte o aviso do fabricante em Palo Alto Networks PSIRT para versões e hotfixes corrigidos aplicáveis à sua plataforma.
- Priorize os equipamentos da série PA e qualquer implantação PAN-OS em que os recursos DNS proxy ou DNS Server estejam habilitados.
- Restrinja a exposição de gerenciamento e de plano de dados dos serviços DNS a redes confiáveis até a aplicação das correções.
- Revise o aviso da Siemens em Siemens ProductCERT caso dispositivos Ruggedcom APE1808 estejam em uso.
Orientações de detecção
- Monitore reinicializações inesperadas, travamentos ou perda do serviço DNS em dispositivos PAN-OS, que podem indicar tentativas de negação de serviço.
- Revise logs em busca de volumes incomuns ou tráfego DNS malformado direcionado aos recursos DNS do firewall.
- Correlacione eventos de disponibilidade com telemetria de rede em nível geral; o registro não fornece indicadores de comprometimento específicos.
Limitações das informações disponíveis
- O registro não fornece detalhes de exploração, situação de prova de conceito pública nem os limites exatos de versões afetadas e corrigidas em formato utilizável.
- O registro indica pontuação 9.8 com vetor CVSS da NVD, e também lista pontuações 7.2 e 6.6 atribuídas pelo CNA; as fontes diferem no contexto de pontuação.
- A execução de código é descrita como potencial e limitada a hardware da série PA; o registro não confirma que tenha sido demonstrada.
Perguntas frequentes
A CVE-2026-0264 permite execução remota de código?
A descrição do fabricante diz que a execução de código é potencialmente possível, mas apenas em hardware da série PA. O registro não confirma que ela tenha sido demonstrada.
Esta vulnerabilidade está sendo explorada ativamente?
O catálogo KEV da CISA não a lista no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais plataformas não são afetadas?
O fabricante informa que Panorama, Cloud NGFW e Prisma Access não são afetados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.