Palo Alto PAN-OS: code injection come root, sfruttata

📌 Sviluppi successivi: Zero-day PAN-OS CVE-2026-0322: versioni corrette e IoC (14 ottobre 2026)

Il 14 ottobre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) la CVE-2026-0322, una vulnerabilità di Palo Alto Networks PAN-OS nell’interfaccia di gestione. Secondo la descrizione pubblicata nella scheda NVD, un attaccante autenticato con accesso di rete all’interfaccia può eseguire codice arbitrario con privilegi di root sul firewall. La gravità indicata da Palo Alto Networks è alta: CVSS 4.0 8.6.

L’ingresso nel catalogo KEV indica che la CISA ha prove di sfruttamento attivo. Al momento della stesura la fonte disponibile è una sola, l’avviso della CISA con la scheda NVD collegata: tutti i dettagli che seguono vengono da lì.

Cosa è successo

La CISA ha inserito la CVE-2026-0322 nel KEV con la descrizione “Palo Alto Networks PAN-OS Code Injection Vulnerability” e ha fissato al 17 ottobre 2026 la scadenza per le agenzie federali statunitensi: tre giorni. Nel catalogo l’uso in campagne ransomware è indicato come “sconosciuto”.

L’avviso chiede di applicare le mitigazioni secondo le istruzioni del produttore, nel rispetto della direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e dei requisiti di triage forense della CISA. Per i servizi cloud valgono le indicazioni della stessa direttiva; se le mitigazioni non sono disponibili, il prodotto va dismesso. L’avviso chiede anche di valutare l’esposizione su Internet di ogni sistema.

Né la CISA né la scheda NVD forniscono dettagli sugli attacchi osservati, sugli autori, sulle vittime o sul modo in cui gli attaccanti hanno ottenuto l’accesso autenticato.

Dettagli tecnici

• CVE: CVE-2026-0322, pubblicata il 14 ottobre 2026. La scheda NVD è in stato “Received”: il NIST non ha ancora fatto la sua analisi.
• Prodotti colpiti: PAN-OS sui firewall PA-Series e VM-Series e su Panorama (virtuale e M-Series).
• Prodotti non colpiti: secondo la descrizione, Cloud NGFW e Prisma Access non sono interessati.
• Componente: l’interfaccia di gestione di PAN-OS.
• Condizione: l’attaccante deve essere autenticato e avere accesso di rete all’interfaccia di gestione.
• Effetto: esecuzione di codice arbitrario con privilegi di root sul dispositivo.
• Debolezza: CWE-94 (Code Injection), cioè la possibilità di far interpretare ed eseguire al sistema codice fornito dall’attaccante.
• Gravità: CVSS 4.0 8.6 (alta), valutazione fornita da Palo Alto Networks. Il vettore AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H indica un attacco via rete, di bassa complessità, senza interazione dell’utente, ma con privilegi elevati richiesti; l’impatto su riservatezza, integrità e disponibilità del dispositivo è alto. Nel vettore Palo Alto indica anche E:A (sfruttamento osservato) e U:Red, il livello di urgenza più alto nella scala del produttore.
• Versioni: le fonti disponibili non elencano le versioni colpite né quelle corrette. Il riferimento è l’avviso di Palo Alto Networks sulla CVE-2026-0322, tra i riferimenti della scheda NVD.
• Indicatori di compromissione: nessuno pubblicato nelle fonti.
• Catena di attacco: le fonti non la descrivono, quindi non è possibile associare con certezza tecniche MITRE ATT&CK.

La descrizione ufficiale precisa che il rischio si riduce molto limitando l’accesso all’interfaccia di gestione ai soli indirizzi IP interni fidati, secondo le linee guida di configurazione consigliate da Palo Alto Networks.

Impatto per le aziende europee e italiane

Il firewall è il punto da cui passa il traffico tra la rete aziendale e Internet, e spesso anche tra i segmenti interni. Un attaccante con privilegi di root sul firewall, o su Panorama che ne gestisce molti, può modificare policy e configurazioni dell’intero perimetro.

Il requisito dell’autenticazione restringe chi può sfruttare la vulnerabilità, ma la CISA conferma che lo sfruttamento è già in corso. Le aziende con l’interfaccia di gestione raggiungibile da reti non fidate, o da Internet, sono quelle più esposte: è la situazione che la descrizione indica come da evitare.

Per i soggetti NIS2 la vulnerabilità rientra nella gestione delle vulnerabilità con priorità e tempi documentati; se i firewall sono gestiti da un fornitore, la verifica va fatta con lui. Un incidente significativo va notificato al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Se una compromissione del firewall espone dati personali, va valutata anche come violazione secondo il GDPR, con l’eventuale notifica al Garante entro 72 ore. Nella sanità, dove il firewall separa spesso le reti cliniche da quelle amministrative, la verifica va fatta senza attendere.

Cosa fare subito

1. Fai l’inventario dei firewall PA-Series e VM-Series e delle console Panorama, compresi quelli gestiti da fornitori, con la versione di PAN-OS di ciascuno.
2. Limita l’accesso all’interfaccia di gestione ai soli indirizzi IP interni fidati, come indica la descrizione ufficiale, e verifica che non sia raggiungibile da Internet.
3. Applica le istruzioni di Palo Alto Networks: segui l’avviso sulla CVE-2026-0322 per le versioni corrette e le eventuali mitigazioni.
4. Se non puoi intervenire subito: come chiede la CISA, se le mitigazioni non sono disponibili valuta di togliere il dispositivo dal servizio.
5. Controlla gli accessi amministrativi: dato che serve un utente autenticato, verifica quali account hanno accesso all’interfaccia di gestione, da quali indirizzi si sono collegati e se ci sono accessi inattesi.
6. Cerca tracce di sfruttamento: non basta aggiornare. Controlla modifiche di configurazione non previste, nuovi account amministrativi, processi e connessioni in uscita insolite dal dispositivo; usa le procedure di verifica fornite da Palo Alto Networks, se presenti.
7. Se trovi segni di compromissione: conserva log e prove per l’analisi forense prima di reinstallare, poi cambia le credenziali amministrative e le chiavi e i certificati configurati sul dispositivo.

Come aiuta ARXDOME

ARX Expose controlla i servizi che la tua azienda espone su Internet, le porte aperte, i prodotti riconosciuti e le loro vulnerabilità note: è un modo per scoprire se un’interfaccia di gestione è raggiungibile da fuori. ARX Sentry raccoglie i log dei firewall in un collettore centrale, così accessi e modifiche restano registrati anche fuori dal dispositivo, e ha pagine dedicate ai firewall con lo stato del firmware. ARX Horizon arricchisce gli eventi con le liste di minacce e le informazioni sulle vulnerabilità.

Ultimo aggiornamento: 14 ottobre 2026