Palo Alto PAN-OS: аутентифицированный RCE через интерфейс управления

Уязвимость CVE-2026-0322 позволяет выполнять код с правами root

Уязвимость CVE-2026-0322 в интерфейсе управления PAN-OS позволяет аутентифицированному злоумышленнику с сетевым доступом выполнить произвольный код с правами root на межсетевом экране. Риск эксплуатации снижается благодаря ограничению доступа к интерфейсу управления доверенными внутренними IP-адресами. Уязвимость затрагивает PAN-OS на межсетевых экранах PA-Series и VM-Series, а также Panorama (виртуальные и M-Series). Cloud NGFW и Prisma Access не подвержены этой уязвимости.

PAN-OS подвержен атаке без специальной конфигурации

Уязвимость CVE-2026-0322 присутствует в PAN-OS без необходимости специальной конфигурации для её эксплуатации. Уязвимости присвоена высокая степень критичности (Severity: HIGH) и рекомендован наивысший уровень срочности (Suggested Urgency: HIGHEST). Риск эксплуатации максимален при предоставлении доступа к интерфейсу управления с внешних IP-адресов. Palo Alto Networks рекомендует устранить уязвимость как можно скорее. CVSS-B оценка уязвимости составляет 8.6 (CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V:D/RE:M/U:Red). Также существует вариант с оценкой 8.5 (CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V:D/RE:M/U:Red).

Ограниченная эксплуатация CVE-2026-0322 зафиксирована

Наблюдалась очень ограниченная эксплуатация уязвимости CVE-2026-0322, нацеленная на интерфейс управления Palo Alto Networks. Для снижения риска эксплуатации рекомендуется ограничить доступ к интерфейсу управления через jump box, который будет единственной системой с разрешенным доступом. Известных обходных путей для устранения этой уязвимости не существует. Клиенты с подпиской Threat Prevention получают ограниченное покрытие против этой уязвимости при активации Threat ID 510046 и 510047 (начиная с версий контента Applications and Threats 9159-10287). Для защиты с помощью этих Threat ID необходимо направить входящий трафик для MGT порта через DP порт, заменить сертификат для входящего трафика, расшифровать входящий трафик к интерфейсу управления и включить threat prevention для входящего трафика. Threat ID требует SSL Decryption. Palo Alto Networks отмечает, что ограниченное покрытие Threat Prevention означает возможность обнаружения известных паттернов атак, но вариации могут существовать. Три IP-адреса ассоциированы с активностью угроз и попытками эксплуатации: 66[.]42[.]72[.]14, 208[.]83[.]239[.]114, 149[.]248[.]47[.]234.

Обновите PAN-OS до версии без уязвимости

Уязвимость CVE-2026-0322 затрагивает следующие версии PAN-OS: от 12.2.0 до 12.2.4 (исключая), от 12.1.4 до 12.1.4-h12 (исключая), от 12.1.7 до 12.1.7-h8 (исключая), от 12.1.10 до 12.1.10-h2 (исключая), от 11.2.4 до 11.2.4-h22 (исключая), от 11.2.7 до 11.2.7-h21 (исключая), от 11.2.10 до 11.2.10-h15 (исключая), от 11.2.13 до 11.2.13-h3 (исключая), от 11.2.0 до 11.2.16 (исключая), от 11.1.4 до 11.1.4-h37 (исключая), от 11.1.6 до 11.1.6-h39 (исключая), от 11.1.7 до 11.1.7-h11 (исключая), от 11.1.10 до 11.1.10-h35 (исключая), от 11.1.13 до 11.1.13-h15 (исключая), от 11.1.16 до 11.1.16-h3 (исключая), от 10.2.7 до 10.2.7-h38 (исключая), от 10.2.10 до 10.2.10-h41 (исключая), от 10.2.13 до 10.2.13-h26 (исключая), от 10.2.16 до 10.2.16-h11 (исключая), от 10.2.18 до 10.2.18-h12 (исключая). Palo Alto Networks рекомендует обновиться до версии, не подверженной уязвимости, если она затрагивает вашу среду.