情報取得日: 2026/05/06／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-0300 |
|---|---|
| 製品 | Palo Alto Networks / PAN-OS |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-787 境界外書き込み（バッファオーバーフロー） |
| 登録／公開日 | 2026/05/06 |
| KEV 期限 | 2026/05/09 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダー指示に従い修正版へ更新するか緩和策を適用。緩和策が無ければ製品の使用を停止（CISA KEV）。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-0300 |
PAN-OS の User-ID 認証ポータル（Captive Portal）サービスに存在するバッファオーバーフロー。細工したパケットにより未認証の攻撃者が root 権限で任意コードを実行できる。対象は Captive Portal を構成した PA シリーズ／VM シリーズのファイアウォールで、Prisma Access・Cloud NGFW・Panorama は非対象。ベンダーは、認証ポータルがインターネット等の非信頼ネットワークから到達可能な場合 CVSS 9.3、信頼済み内部IPに限定されている場合 8.7 と評価。CISA KEV に 2026-05-06 登録済みで実際の悪用が確認されている（Unit 42 が観測）。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
該当なし（AWS のマネージドサービスの脆弱性ではない）
VM-Series を自運用で AWS 上に展開している場合はアプライアンス側の PAN-OS を修正版へ更新する。
参照リンク
|
| GCP | 対象外 |
該当なし（GCP マネージドサービスの脆弱性ではない）
VM-Series を GCP 上で自運用している場合は PAN-OS を修正版へ更新。
参照リンク
|
| Azure | 対象外 |
該当なし（Azure マネージドサービスの脆弱性ではない）
VM-Series を Azure 上で自運用している場合は PAN-OS を修正版へ更新。
参照リンク
|
| Linux | ベンダーFW更新 |
PAN-OS（ベンダーファームウェア）を修正版へ更新。Linux ディストリのパッケージ対象外。
アプライアンス OS の問題で、一般 Linux ディストリの CVE トラッカー対象ではない。ベンダー修正版を適用する。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
修正版 PAN-OS へ更新するのが基本方針（12.1.4-h5/12.1.7、11.2 系・11.1 系・10.2 系にそれぞれ修正版あり）。即時更新できない場合は Captive Portal へのアクセスを信頼ゾーンに限定し、非信頼/インターネット流入のある L3 インターフェースの Interface Management Profile で Response Pages を無効化して暴露を下げる。
Critical（CVSS 9.8）に分類されるPalo Alto Networks PAN-OSの脆弱性です。PAN-OS の User-ID 認証ポータル（Captive Portal）サービスに存在するバッファオーバーフロー。細工したパケットにより未認証の攻撃者が root 権限で任意コードを実行できる。対象は Captive Portal を構成した PA シリーズ／VM シリーズのファイアウォールで、Prisma Access・Cloud NGFW・Panorama は非対象。ベンダーは、認証ポータルがインターネット等の非信頼ネットワークから到達可能な場合 CVSS 9.3、信頼済み内部IPに限定されている場合 8.7 と評価。CISA KEV に 2026-05-06 登録済みで実際の悪用が確認されている（Unit 42 が観測）。
修正版 PAN-OS へ更新するのが基本方針（12.1.4-h5/12.1.7、11.2 系・11.1 系・10.2 系にそれぞれ修正版あり）。即時更新できない場合は Captive Portal へのアクセスを信頼ゾーンに限定し、非信頼/インターネット流入のある L3 インターフェースの Interface Management Profile で Response Pages を無効化して暴露を下げる。
Palo Alto Networks PAN-OS を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-0300）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/09 です。推奨される対応: ベンダー指示に従い修正版へ更新するか緩和策を適用。緩和策が無ければ製品の使用を停止（CISA KEV）。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。