Palo Alto Networks ha confermato che CVE-2026-0300 — una remote code execution (RCE) con CVSS 9.8 nel servizio Captive Portal di PAN-OS — è sotto exploit attivo. L’azienda ha emesso l’allerta dopo che BleepingComputer e SecurityWeek hanno riferito di campagne in corso. Il bug colpisce i firewall delle serie PA e VM, dispositivi che per definizione dovrebbero essere la prima linea di difesa. Invece, sono diventati la prima porta di ingresso.

L’exploit permette a un attaccante non autenticato di eseguire codice arbitrario. Il traffico malevolo non richiede privilegi preliminari e può essere lanciato da remoto. Secondo le analisi, l’exploitation è iniziata almeno due settimane prima dell’advisory ufficiale. Il 6 maggio 2026, nessuna patch era ancora disponibile. E non è una sorpresa: in molti casi, i vendor impiegano settimane per rispondere a vulnerabilità di questo livello. Ma qui il vero fallimento non è il tempo di patching. È il tempo di rilevamento.

Il firewall come superficie d’attacco

I firewall sono considerati punti di controllo. In pratica, sono diventati superfici d’attacco. CVE-2026-0300 non è un zero-day nel senso tecnico — non è una vulnerabilità sconosciuta. È un failure of visibility. Mandiant, nel suo Global Threat Report 2026, ha registrato un tempo medio di breakout per gli attacchi criminali di 29 minuti nel 2025. Ma quando si tratta di compromissioni su dispositivi di edge, il dwell time supera i 14 giorni (M-Trends 2026). In altre parole: gli attaccanti entrano in meno di mezz’ora, ma restano nascosti per settimane.

La differenza non è nel patching. È nella detection. E qui il paradosso è evidente: i sistemi che dovrebbero proteggere la rete sono i meno monitorati. Nessuno si aspetta che il guardiano sia posseduto. Eppure, è esattamente ciò che sta accadendo.

SecurityWeek ha sottolineato l’assenza di mitigazioni efficaci. Disabilitare il servizio Captive Portal, se non usato, è l’unica contromisura immediata. Ma quanti team di sicurezza sanno se quel servizio è attivo? Quanti lo hanno mai auditato? Il problema non è tecnico: è operativo. È culturale.

La matematica difensiva

La risposta non è aspettare la patch. È ridurre l’attaccabilità oggi. Tre azioni chiave emergono dai dati:

  1. Audit immediato di tutti i dispositivi PAN-OS esposti a internet. Il servizio Captive Portal deve essere disabilitato se non strettamente necessario. Secondo SecurityWeek, è la mitigazione primaria.

  2. Deploy di regole di rilevamento per anomalie nel servizio User-ID entro 48 ore. CrowdStrike ha riferito che l’82% degli attacchi nel 2025 era malware-free. Gli attaccanti non lasciano tracce di file: si muovono con credenziali legittime o exploit diretti. Il rilevamento deve basarsi sul comportamento, non sulle firme.

  3. Segmentazione rigorosa tra le interfacce di gestione dei firewall e le reti interne. Il Verizon DBIR 2025 mostra che questa pratica riduce il rischio di movimento laterale del 68%. Se un firewall viene compromesso, deve essere isolato da tutto ciò che protegge.

Queste non sono raccomandazioni generiche. Sono lezioni ricavate da migliaia di incidenti. Eppure, molte organizzazioni le ignorano. Perché? Perché testare la detection su infrastrutture di sicurezza è scomodo. Richiede di simulare attacchi contro i propri strumenti. Richiede di ammettere che il muro può essere bucato.

E allora torna la domanda: quando il vostro team ha testato per l’ultima volta la copertura di rilevamento per exploit diretti contro i vostri firewall? Non contro le workstation. Non contro i server. Contro i dispositivi che, per design, non dovrebbero mai fallire. Ma che, proprio per questo, sono i più pericolosi quando lo fanno.