PAN-OS CVE-2026-0300 제로데이와 경계 방화벽 방어 설계

인증 포털에서 시작되는 루트 권한 RCE

2026년 5월 공개된 CVE-2026-0300은 Palo Alto Networks PAN-OS의 User-ID 인증 포털에서 발견된 버퍼 오버플로우 취약점이다. 인증을 거치지 않고도 방화벽에서 루트 권한으로 원격 코드를 실행할 수 있으며, CVSS 9.3의 초고위험 취약점으로 분류됐다. 국가지원 APT 그룹 CL-STA-1132의 실제 악용이 확인됐고, 패치 배포 이전부터 CISA KEV 목록에 즉각 등재됐다.

취약점은 User-ID™ Authentication Portal(Captive Portal)의 입력 처리 루틴에 있다. 사용자 제공 데이터의 길이를 확인하지 않아 스택의 리턴 주소를 공격자가 제어하는 값으로 덮어쓸 수 있었다.

항목	내용
CVE 번호	CVE-2026-0300
영향 제품	PA-Series, VM-Series 방화벽
취약 컴포넌트	User-ID™ Authentication Portal (Captive Portal)
CVSS v4 점수	9.3 (공개 인터넷 노출 시), 8.7 (내부망 제한 시)
공격 유형	사전 인증 불필요 스택 버퍼 오버플로우 → RCE
실행 권한	Root
악용 여부	확인됨 (국가지원 APT CL-STA-1132)
패치 일정	2026년 5월 13일 핫픽스 배포 시작

Prisma Access, Cloud NGFW, Panorama 어플라이언스는 이 취약점의 영향을 받지 않는다. 영향 범위는 User-ID™ 인증 포털이 활성화된 PA-Series 및 VM-Series 방화벽으로 한정된다.

[정상 스택 레이아웃]
┌─────────────────────┐  높은 주소
│    함수 인수         │
├─────────────────────┤
│  리턴 주소 (정상)    │  ← 공격 목표
├─────────────────────┤
│  스택 프레임 포인터  │
├─────────────────────┤
│  지역 변수/버퍼      │  ← 오버플로우 발생 지점
└─────────────────────┘  낮은 주소

[공격 후 스택]
┌─────────────────────┐
│  NOP 슬라이드       │
│  셸코드/ROP 가젯    │
├─────────────────────┤
│  리턴 주소 (조작됨) │  ← 공격자 제어
├─────────────────────┤
│  AAAA...AAAA        │  ← 오버플로우 페이로드
└─────────────────────┘

메모리 손상을 여러 층에서 막는 방화벽 소프트웨어

네트워크 장비의 버퍼 오버플로우는 입력 검증만으로 끝나지 않는다. 개발 단계에서부터 컴파일러와 운영 체제의 방어 기법을 겹쳐 적용해야 한다.

스택 카나리(Stack Canaries)는 지역 변수 영역과 리턴 주소 사이에 무작위 값을 두고, 함수가 반환되기 전에 그 값이 바뀌었는지 확인한다. GCC에서는 -fstack-protector-strong 플래그로 활성화할 수 있다. FORTIFY_SOURCE는 strcpy, memcpy 같은 버퍼 조작 함수를 길이를 인식하는 형태로 대체해 런타임 경계 초과를 탐지한다.

ASLR(Address Space Layout Randomization)은 스택·힙·공유 라이브러리 주소를 무작위화해 주소를 하드코딩한 익스플로잇을 어렵게 만든다. Linux에서는 /proc/sys/kernel/randomize_va_space=2 설정으로 완전한 ASLR을 활성화할 수 있다.

DEP/NX(Data Execution Prevention / No-eXecute)는 스택과 힙 같은 데이터 영역을 실행 불가능하게 표시한다. 주입된 셸코드의 직접 실행을 막는 방식이며, ROP(Return-Oriented Programming)의 출현 배경이 되기도 했다. CFI(Control Flow Integrity)를 함께 적용하면 ROP와 JOP(Jump-Oriented Programming)도 제한할 수 있다. CFI는 함수 포인터 호출과 가상 함수 호출 같은 간접 제어 흐름이 컴파일 시점에 분석된 합법적인 경로만 따르도록 강제한다.

입력 길이 검증은 코드 수준에서도 명시적으로 수행해야 한다.

// 취약한 코드 예시
void process_auth_request(char *input) {
    char buffer[256];
    strcpy(buffer, input);  // 길이 검증 없음 → 오버플로우 위험
}

// 안전한 코드 예시
void process_auth_request(const char *input) {
    char buffer[256];
    size_t input_len = strlen(input);
    
    if (input_len >= sizeof(buffer)) {
        log_error("입력 길이 초과: %zu bytes", input_len);
        return;  // 명시적 길이 검증
    }
    
    strncpy(buffer, input, sizeof(buffer) - 1);
    buffer[sizeof(buffer) - 1] = '\0';  // 널 종결자 보장
}

안전한 메모리 함수 사용 시에는 다음의 대체 원칙을 따른다.

strcpy → strncpy 또는 strlcpy
sprintf → snprintf
gets → fgets
memcpy → 길이 검증 후 사용

⤢✕

경계 장비 침해 이후의 APT 이동 경로

Palo Alto Networks Unit 42는 CVE-2026-0300을 악용한 위협 클러스터를 CL-STA-1132로 추적하고 국가지원 위협 행위자로 분류했다. 이 캠페인은 경계 방화벽을 초기 거점으로 확보한 뒤 내부망으로 확장하는 APT 킬체인을 따른다.

정찰 단계에서는 Shodan, FOFA, Censys로 공개 노출된 PAN-OS 인스턴스를 찾고, 버전 핑거프린팅으로 패치 미적용 여부와 User-ID 인증 포털의 공개 접근 가능 여부를 확인한다.

초기 접근 단계에서는 CVE-2026-0300 버퍼 오버플로우 익스플로잇을 인증 포털에 전송해 인증 없이 루트 셸을 획득한다. 이후 루트 권한으로 커스텀 임플란트 또는 오픈소스 터널링 도구를 배포하고, PAN-OS 설정 변경을 통해 백도어 계정 또는 SSH 키를 등록하며 재부팅 이후에도 남는 지속성 메커니즘을 설치할 수 있다.

방화벽 내부 라우팅 테이블은 내부망 토폴로지 파악에 사용될 수 있다. 공격자는 LDAP 쿼리와 Kerberos 티켓 요청으로 Active Directory를 열거하고, 방화벽 발 트래픽을 신뢰하는 보안 정책을 악용해 내부 시스템에 접근한다. Operational Relay Box(ORB) 네트워크로 C2 통신을 우회하는 흐름도 여기에 포함된다.

수집과 유출 단계에서는 내부 자격증명, 인증서, 설정 파일이 대상이 된다. DNS-over-HTTPS와 ICMP 터널링 같은 암호화 채널로 C2 통신을 수행하고, 파트너 네트워크 또는 클라우드 환경으로 피벗할 수 있다.

2026년 APT 그룹은 이전 대비 4배 빠른 속도로 운영되며, 취약점 공개 후 패치 적용 전까지의 익스플로잇 창은 수일로 단축됐다. GreyNoise의 2026 보고서는 이 창이 "사실상 붕괴(effectively collapsed)"됐다고 설명하며, 중국 연계 그룹이 경계 장비 공격 캠페인의 70% 이상을 차지하는 것으로 분석한다.

패치 전 적용할 긴급 완화 체계

패치가 아직 없는 제로데이에서는 노출 표면을 줄이고 이상 행위를 찾는 방어 체계를 즉시 가동해야 한다.

즉시 제한할 인증 포털 접근

User-ID 인증 포털의 접근 IP를 제한하고, 사용하지 않는 포털은 비활성화한다.

# PAN-OS CLI에서 인증 포털 접근 IP 제한
set deviceconfig system permitted-ip <trusted_internal_subnet>

# 인증 포털이 불필요한 경우 비활성화
set user-id-collector setting enable no

Threat Prevention 구독이 있다면 Threat ID 510019를 활성화한다. 이는 Applications & Threats 콘텐츠 버전 9097-10022 이상에서 적용하며, PAN-OS 11.1 이상에서는 Decoder 기반 탐지를 지원한다.

업스트림 라우터나 스위치에서는 다음과 같이 인터넷에서 PAN-OS 관리 포트와 인증 포털로 향하는 트래픽을 차단할 수 있다.

! 인터넷에서 PAN-OS 관리 포트 및 인증 포털 차단
access-list BLOCK_PANOS_PORTAL deny tcp any [방화벽_IP] eq 6080
access-list BLOCK_PANOS_PORTAL deny tcp any [방화벽_IP] eq 6081
access-list BLOCK_PANOS_PORTAL permit ip any any

관리 경로와 업무·OT 망의 분리

관리 인터페이스는 별도 Out-of-Band(OoB) 네트워크로 격리하고, 점프 서버(Bastion Host)를 통한 관리 접근만 허용한다. MFA도 강제 적용한다.

네트워크 구간은 다음과 같이 분할한다.

[인터넷]
    │
[업스트림 라우터 (ACL 적용)]
    │
[방화벽 외부 존]
    │
[방화벽] ← User-ID 포털 비활성화 또는 내부망 전용
    │
[DMZ 존]    [내부 업무망]    [OT/ICS 네트워크]
              (격리 강화)      (완전 분리)

방화벽이 OT(운영 기술) 환경을 보호하는 경우에는 방화벽 침해가 곧바로 OT 접근으로 이어지지 않도록 계층적 분리가 필요하다.

[IT 네트워크]
      │
[방화벽 (CVE-2026-0300 노출)]  ← 침해 가정
      │
[DMZ / 에어갭 영역]  ← 데이터 다이오드 또는 단방향 게이트웨이
      │
[OT/ICS 네트워크]  ← 방화벽 침해와 무관하게 독립 보호
      │
[PLC/SCADA/DCS]

OT 경계에 데이터 다이오드(Data Diode) 또는 단방향 보안 게이트웨이를 배치하면, 방화벽이 완전히 침해되더라도 OT 네트워크로 향하는 양방향 통신을 물리적으로 차단할 수 있다.

탐지와 헌팅에 남겨야 할 신호

CVE-2026-0300 악용 징후는 User-ID 포털로 유입되는 비정상 대용량 패킷, useridd 프로세스의 반복 재시작, 루트 권한의 예상치 못한 자식 프로세스, 방화벽에서 외부 미등록 IP로 향하는 아웃바운드 연결, 방화벽 발 LDAP 쿼리의 이상 증가로 나타날 수 있다.

탐지 지표	설명
User-ID 포털 대용량 패킷 수신	정상 범위를 초과하는 HTTP 요청 길이
방화벽 프로세스 비정상 크래시	`useridd` 프로세스 반복 재시작
루트 권한 신규 프로세스 생성	예상치 못한 자식 프로세스
외부 C2 통신 개시	방화벽에서 외부 미등록 IP로의 아웃바운드 연결
AD 열거 트래픽 급증	방화벽 발 LDAP 쿼리 이상 증가

Splunk에서는 다음 쿼리로 User-ID 포털 트래픽을 확인할 수 있다.

index=paloalto sourcetype=pan:traffic
| where app="user-id-portal" AND bytes_sent > 65536
| stats count, max(bytes_sent) by src_ip, dest_ip
| where count > 100
| sort -count

자산 가시성과 패치 관리로 이어지는 대응

CVE-2026-0300은 네트워크 경계 장비 자체가 우선 공격 목표가 될 수 있음을 보여준다. 대응은 패치 적용 시점에만 시작되지 않는다.

모든 PAN-OS 버전을 CMDB에 등록해 취약점 공시 직후 영향 범위를 파악할 수 있는 자산 인벤토리를 유지해야 한다. 프로덕션 반영 전에는 스테이징 환경에서 패치를 검증하되, 제로데이 상황에서는 패치 테스트 기간을 최소화한다.

ACL 변경과 서비스 비활성화 같은 임시 완화 조치는 Infrastructure as Code(IaC) 도구로 자동 배포할 수 있도록 플레이북을 미리 준비한다. CISA KEV, Unit 42, CERT 피드는 자동 수신해 제로데이 공시 즉시 내부 경보가 발생하도록 구성한다.

ASLR·DEP·CFI·스택 카나리로 메모리 손상 방어를 겹치고, 인증 포털의 접근을 제한하거나 비활성화하며, OT와 IT를 분리하는 설계가 함께 작동해야 한다. 패치가 배포되면 즉시 적용하고, 그 전까지는 임시 완화와 이상 탐지를 병행해야 한다.