文章总结： PaloAltoNetworks披露PAN-OS缓冲区溢出漏洞CVE-2026-0288，位于User-ID终端服务器代理组件，无需认证即可利用，可导致拒绝服务或任意代码执行，CVSS评分7.2。影响PAN-OS12.1、11.2、11.1和10.2系列，CloudNGFW和Panorama不受影响。建议升级至修复版本或限制TSA网络连接。 综合评分： 81 文章分类： 漏洞分析,应急响应,网络安全,安全工具

CVE-2026-0288：PAN-OS缓冲区溢出漏洞可导致任意代码执行

sec随谈 sec随谈

sec随谈

2026年7月9日 11:24 北京

在小说阅读器读本章

去阅读

摘要 Palo Alto Networks披露了一个PAN-OS缓冲区溢出漏洞，编号为CVE-2026-0288。该漏洞存在于User-ID终端服务器代理（Terminal Server Agent）组件中，未经身份验证的网络攻击者可借此使防火墙崩溃，甚至执行任意代码。厂商将其评为CVSS 7.2分，并表示目前尚未发现被利用的迹象。

为何重要 PAN-OS防火墙守护着众多企业网络的边界，因此一个能在此处实现任意代码执行的漏洞非同小可。该漏洞无需登录，也无需用户交互即可被利用。值得注意的是，另一个同源的PAN-OS漏洞——CVE-2026-0300——此前曾遭在野利用，并已于2026年5月被列入CISA的已知被利用漏洞（KEV）名录。尽管CVE-2026-0288目前尚无被滥用的迹象，但这一前例意味着快速打补丁的重要性不容忽视。

攻击原理 该问题是终端服务器代理（TSA）中的一组缓冲区溢出漏洞。攻击者向TSA服务发送精心构造的网络流量，该输入会造成缓冲区溢出，结果可能导致拒绝服务，甚至任意代码执行。只有配置了至少一个TSA条目的设备才会受到影响，管理员可在”Device > User Identification > Terminal Server Agents”路径下进行确认。

受影响版本 该漏洞影响PAN-OS 12.1、11.2、11.1和10.2系列中修复版本之前的所有版本。Cloud NGFW和Panorama不受影响。Prisma Access的两个分支被评为中危级别。Palo Alto对该漏洞的报告者Liang Zhu表示感谢。

补丁与缓解措施 请升级至已修复的版本，例如12.1.8、11.2.13、11.1.16或10.2.18-h8。具体分支对应的确切版本号，请查阅Palo Alto官方安全公告。在完成补丁更新之前，建议将TSA的网络连接限制为仅可信的内部IP地址，这一简单举措便能大幅降低此PAN-OS缓冲区溢出漏洞带来的风险。

参考链接：

https://security.paloaltonetworks.com/CVE-2026-0288

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《CVE-2026-0288：PAN-OS缓冲区溢出漏洞可导致任意代码执行》