CVE-2026-0301 PAN-OS: Information Disclosure Vulnerability in URL Filtering (Severity: LOW)

概要：CVE-2026-0301は、Palo Alto Networks PAN-OSのURL Filtering機能における情報漏えいの脆弱性です。ネットワークにアクセスできる未認証ユーザーが機密情報を取得できます。深刻度はLOW（CVSS-BT 1.7、CVSS-B 6.3）、推奨緊急度はMODERATE、弱点分類はCWE-908です。悪意ある悪用は確認されていません。公開日は2026-08-12です。

影響対象：PAN-OS 11.1の11.1.16-h1未満、PAN-OS 10.2の10.2.8未満、Prisma Access 10.2の10.2.10未満、およびAWSとAzure上のCloud NGFW全版です。ただしCloud NGFWは11.2稼働時には影響を受けません。PAN-OS 12.1と11.2、Prisma Access 12.1と11.2、Panoramaは影響を受けません。対象となるのは、URLフィルタリングが有効で、カスタムURL Filtering HTML応答ページをインポートしている場合のみです。Prisma Accessは認証済みユーザーを必要とするため、悪用リスクは低いとされています（CVSS-BT 0.5）。

修正版：PAN-OS 11.1は11.1.16-h1以降、PAN-OS 10.2は10.2.8または11.1.16-h1以降、Prisma Access 10.2は10.2.10以降です。サポート外の旧版は、サポート対象の修正版への更新が必要です。Prisma AccessとCloud NGFWは次回の定期メンテナンスで更新されます。それより早い更新を希望する場合は、サポートまたはアカウントチームに依頼できます。

回避策：応答ページ変数を、定義済み応答ページに含まれるuser、url、category、pan_formに限定します。

不明点：漏えいする情報の具体的な内容は未確認です。CPE一覧には11.1.0以降が含まれる一方、適用条件では11.1.16以降と記載されており、原文内で影響範囲の記述に差異があります。Cloud NGFWの具体的な修正版番号も未確認です。