網(wǎng)絡(luò)安全公司Palo Alto Networks本周披露，一個評分高達(dá)9.3分的嚴(yán)重漏洞正被疑似國家支持的黑客組織積極利用。攻擊者最早在2026年4月9日就嘗試入侵，成功后可獲得設(shè)備最高權(quán)限并植入惡意代碼。

這個編號為CVE-2026-0300的漏洞位于PAN-OS系統(tǒng)的用戶身份認(rèn)證門戶服務(wù)中，屬于緩沖區(qū)溢出類型。未經(jīng)身份驗(yàn)證的攻擊者只需發(fā)送特制數(shù)據(jù)包，就能以root權(quán)限執(zhí)行任意代碼。CVSS評分顯示其嚴(yán)重性達(dá)到9.3分（部分評估為8.7分），屬于最高危級別。

時間線顯示攻擊活動早有預(yù)謀。Palo Alto Networks旗下Unit 42團(tuán)隊(duì)在周三發(fā)布的公告中指出，4月9日首次監(jiān)測到針對PAN-OS設(shè)備的未成功攻擊嘗試。一周后，攻擊者成功突破防線，實(shí)現(xiàn)了遠(yuǎn)程代碼執(zhí)行并注入shellcode到nginx工作進(jìn)程中。

入侵得手后，攻擊者立即展開痕跡清理。他們清除內(nèi)核崩潰信息、刪除nginx崩潰記錄和核心轉(zhuǎn)儲文件，試圖掩蓋入侵證據(jù)。4月29日，同一團(tuán)伙對第二臺設(shè)備發(fā)動后續(xù)攻擊，進(jìn)行Active Directory目錄枚舉，并投放EarthWorm和ReverseSocks5兩款工具。這兩款開源工具此前多次出現(xiàn)在與中國有關(guān)聯(lián)的黑客組織武器庫中。

Palo Alto Networks將這一系列活動追蹤為CL-STA-1132，其來源尚未確定，但疑似具有國家背景。值得注意的是，攻擊者刻意選擇開源工具而非專屬惡意軟件，這一技術(shù)決策有效避開了基于特征的檢測機(jī)制。配合數(shù)周內(nèi)間歇性交互的謹(jǐn)慎操作節(jié)奏，整個攻擊過程始終低于多數(shù)自動化告警系統(tǒng)的行為閾值。

Unit 42分析師在報(bào)告中指出，過去五年間，從事網(wǎng)絡(luò)間諜活動的國家級別黑客越來越聚焦于邊緣網(wǎng)絡(luò)資產(chǎn)。防火墻、路由器、物聯(lián)網(wǎng)設(shè)備、虛擬化平臺和各類VPN解決方案成為重點(diǎn)目標(biāo)——這些設(shè)備既能提供高權(quán)限訪問通道，又往往缺乏標(biāo)準(zhǔn)終端所具備的完善日志記錄和安全代理。

官方補(bǔ)丁預(yù)計(jì)從2026年5月13日開始推送。在補(bǔ)丁可用之前，Palo Alto Networks建議用戶采取臨時緩解措施：將PAN-OS用戶身份認(rèn)證門戶的訪問限制在受信任區(qū)域，或在不使用的情況下直接禁用該服務(wù)。

這起事件再次暴露了一個長期存在的安全困境：網(wǎng)絡(luò)邊界設(shè)備承載著關(guān)鍵防護(hù)職能，卻常因架構(gòu)特殊性成為防御鏈條中最薄弱的環(huán)節(jié)。攻擊者對開源工具的偏好和低頻操作模式，也反映出高級持續(xù)威脅（APT）組織正在主動適應(yīng)并規(guī)避傳統(tǒng)安全監(jiān)測手段。