Vulnerabilitate în interfața de management PAN-OS, exploatată activ: aplicați patch-ul pentru CVE-2026-0322

Palo Alto Networks a lansat remedieri pentru CVE-2026-0322, o vulnerabilitate de severitate ridicată de tip execuție de cod la distanță în interfața de management PAN-OS. Producătorul confirmă că breșa este deja exploatată, deocamdată la scară mică. CISA a adăugat-o între timp în catalogul Known Exploited Vulnerabilities (KEV), împreună cu o vulnerabilitate critică din Cisco Secure Email Gateway.

Ce s-a întâmplat

Vulnerabilitatea: CVE-2026-0322 (CVSS 8,6) permite unui atacator care are acces de rețea la interfața de management și credențiale valide să execute cod arbitrar cu drepturi de root pe firewall.
Produse afectate: PAN-OS pe firewall-urile PA-Series și VM-Series, precum și pe Panorama (virtual și M-Series).
Neafectate: Cloud NGFW și Prisma Access.
Exploatare: Palo Alto Networks raportează o exploatare „foarte limitată” împotriva interfețelor de management. Nu a precizat cine se află în spatele atacurilor, ce urmăresc atacatorii sau când a început activitatea. Trei adrese IP geolocalizate în SUA sunt asociate tentativelor: 66.42.72[.]14, 208.83.239[.]114 și 149.248.47[.]234.
Nu e nevoie de o configurație specială: setările implicite sunt suficiente pentru a fi vulnerabil, dacă interfața de management poate fi accesată.

Aceeași actualizare KEV include CVE-2026-76519 (CVSS 9,8) din Cisco Secure Email Gateway. Un atașament de e-mail special construit, procesat cât timp serviciul de reputație a fișierelor este activ, poate permite unui atacator neautentificat să scrie fișiere și să execute comenzi ca root. Agențiile civile federale din SUA trebuie să remedieze ambele vulnerabilități până pe 17 octombrie 2026.

De ce contează

Atacatorul are nevoie de credențiale, dar obstacolul e mai mic decât pare. Credențialele de administrare sunt furate prin phishing, refolosite, lăsate la valorile implicite sau apar în log-urile infostealerelor. Odată obținute, această vulnerabilitate transformă accesul de administrator în root pe echipamentul care vă apără perimetrul. De acolo, atacatorul poate modifica politicile, intercepta traficul, instala mecanisme de persistență și pătrunde în rețeaua internă. Interfețele de management ale firewall-urilor sunt de câțiva ani o țintă preferată, iar un CVE aflat în KEV și confirmat ca exploatat trebuie pus primul pe lista de patch-uri.

Ce trebuie să faceți

Aplicați patch-ul acum. Versiunile remediate includ PAN-OS 12.2.4+, 12.1.4-h12 / 12.1.7-h8 / 12.1.10-h2+, 11.2.4-h22 / 11.2.7-h21 / 11.2.10-h15 / 11.2.13-h3 (11.2.16 este programată pentru 15 octombrie 2026), 11.1.4-h37 / 11.1.6-h39 / 11.1.7-h11 / 11.1.10-h35 / 11.1.13-h15 / 11.1.16-h3 și 10.2.7-h38 / 10.2.10-h41 / 10.2.13-h26 / 10.2.16-h11 / 10.2.18-h12. Verificați în advisory-ul producătorului versiunea exactă pentru ramura voastră.
Restricționați interfața de management. Nu trebuie să fie niciodată accesibilă din internet. Permiteți doar IP-uri interne de încredere, ideal un singur jump host securizat.
Schimbați și întăriți credențialele de administrator. Impuneți MFA pentru accesul administrativ și eliminați conturile vechi sau partajate.
Căutați semne de compromitere. Verificați log-urile de management și de sistem pentru conexiuni de la IP-urile de mai sus, autentificări neașteptate ca administrator și modificări de configurație pe care nu le puteți explica.
Verificați și Cisco Secure Email Gateway, dacă îl folosiți, și aplicați remedierea Cisco pentru CVE-2026-76519.

Nu știți sigur dacă interfața de management a firewall-ului vostru este vizibilă din exterior? Evaluarea suprafeței de atac externe 4Tify găsește interfețele de administrare expuse înaintea atacatorilor.

Raportat inițial de The Hacker News. Advisory oficial: Palo Alto Networks — CVE-2026-0322.