CVE-2026-0288：PAN-OS缓冲区溢出漏洞可导致任意代码执行

sec随谈
sec随谈

sec随谈

2026年7月9日 11:24
北京

在小说阅读器读本章

去阅读

摘要
Palo Alto Networks披露了一个PAN-OS缓冲区溢出漏洞，编号为CVE-2026-0288。该漏洞存在于User-ID终端服务器代理（Terminal Server Agent）组件中，未经身份验证的网络攻击者可借此使防火墙崩溃，甚至执行任意代码。厂商将其评为CVSS 7.2分，并表示目前尚未发现被利用的迹象。

为何重要
PAN-OS防火墙守护着众多企业网络的边界，因此一个能在此处实现任意代码执行的漏洞非同小可。该漏洞无需登录，也无需用户交互即可被利用。值得注意的是，另一个同源的PAN-OS漏洞——CVE-2026-0300——此前曾遭在野利用，并已于2026年5月被列入CISA的已知被利用漏洞（KEV）名录。尽管CVE-2026-0288目前尚无被滥用的迹象，但这一前例意味着快速打补丁的重要性不容忽视。

攻击原理
该问题是终端服务器代理（TSA）中的一组缓冲区溢出漏洞。攻击者向TSA服务发送精心构造的网络流量，该输入会造成缓冲区溢出，结果可能导致拒绝服务，甚至任意代码执行。只有配置了至少一个TSA条目的设备才会受到影响，管理员可在\"Device > User Identification > Terminal Server Agents\"路径下进行确认。

受影响版本
该漏洞影响PAN-OS 12.1、11.2、11.1和10.2系列中修复版本之前的所有版本。Cloud NGFW和Panorama不受影响。Prisma Access的两个分支被评为中危级别。Palo Alto对该漏洞的报告者Liang Zhu表示感谢。

补丁与缓解措施
请升级至已修复的版本，例如12.1.8、11.2.13、11.1.16或10.2.18-h8。具体分支对应的确切版本号，请查阅Palo Alto官方安全公告。在完成补丁更新之前，建议将TSA的网络连接限制为仅可信的内部IP地址，这一简单举措便能大幅降低此PAN-OS缓冲区溢出漏洞带来的风险。

参考链接：

https://security.paloaltonetworks.com/CVE-2026-0288