Zero-day PAN-OS CVE-2026-0322: versioni corrette e IoC

La CVE-2026-0322 di Palo Alto Networks PAN-OS, la code injection nell’interfaccia di gestione che permette a un utente autenticato di eseguire codice come root, era entrata nel catalogo KEV della CISA il 14 ottobre 2026. Nei giorni successivi sono arrivati i dettagli che mancavano: l’avviso di Palo Alto Networks con le versioni corrette per ogni ramo, gli indirizzi IP associati agli attacchi, le firme di Threat Prevention e la valutazione completa del NIST. Le versioni sono confermate dagli avvisi del Canadian Centre for Cyber Security, della KISA coreana e della CSA di Singapore.

Cosa dice l’avviso di Palo Alto Networks

Secondo l’avviso del produttore, citato da BleepingComputer, SecurityWeek e CSO Online, è stato osservato uno sfruttamento “molto limitato” che prende di mira l’interfaccia di gestione. La vulnerabilità è stata scoperta internamente da Palo Alto Networks e, come riportano SecurityWeek e CSO Online, non serve nessuna configurazione particolare per essere esposti: basta che l’interfaccia di gestione sia raggiungibile da chi ha credenziali valide.

Il produttore dice che non esistono soluzioni temporanee (workaround). Il rischio è più alto quando l’interfaccia di gestione accetta connessioni da indirizzi IP pubblici su Internet; la raccomandazione resta quella di limitarla ai soli indirizzi interni fidati.

Le fonti non dicono quando è iniziato lo sfruttamento, chi c’è dietro, quanti clienti sono stati colpiti né come gli attaccanti abbiano ottenuto le credenziali. BleepingComputer e CSO Online hanno chiesto chiarimenti a Palo Alto Networks senza ricevere risposta al momento della pubblicazione.

Versioni corrette

Le versioni che correggono la vulnerabilità, secondo gli avvisi della KISA e della CSA di Singapore (stesse versioni, in parte, nell’avviso canadese):

• PAN-OS 12.2: 12.2.4
• PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8, 12.1.10-h2
• PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16
• PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3
• PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12

Ogni hotfix vale per la sua linea di manutenzione: va scelta quella corrispondente alla versione installata. Secondo BleepingComputer e CSO Online, la 11.2.16 era attesa per il 15 ottobre ed è il percorso di aggiornamento per chi usa la 11.2.14 o la 11.2.15; infatti non compare nella prima versione dell’avviso canadese, mentre è negli avvisi di KISA e CSA del 16 ottobre. Chi usa versioni non più supportate deve passare a una versione supportata e corretta. I prodotti colpiti restano i firewall PA-Series e VM-Series e Panorama (virtuale e M-Series); Cloud NGFW e Prisma Access non sono interessati.

Indicatori e rilevamento

BleepingComputer riporta i tre indirizzi IP che Palo Alto Networks associa allo sfruttamento; SecurityWeek conferma che gli indicatori pubblicati sono alcuni indirizzi IP:

• 66.42.72[.]14
• 208.83.239[.]114
• 149.248.47[.]234

Chi ha un abbonamento Threat Prevention può attivare i Threat ID 510046 e 510047. Secondo CSO Online, che cita le FAQ dell’avviso, la copertura è limitata e richiede la decrittazione SSL del traffico verso l’interfaccia di gestione; possono esistere varianti dell’attacco che le firme non riconoscono. Per questo Palo Alto Networks raccomanda comunque l’aggiornamento.

Valutazione NIST e catalogo KEV

La scheda NVD è passata allo stato “Analyzed”. Al punteggio CVSS 4.0 di 8.6 assegnato da Palo Alto si aggiunge quello del NIST: CVSS 3.1 7.2 (alta), vettore AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H. In entrambe le valutazioni pesa il requisito di privilegi elevati (PR:H). Tra le configurazioni colpite il NIST include anche le versioni precedenti alla 10.2.

La scadenza fissata dalla CISA per le agenzie federali statunitensi (17 ottobre) è già passata. Come sottolinea CSO Online, la scheda KEV richiede anche il triage forense previsto dalla direttiva BOD 26-04: verificare se il sistema è stato compromesso prima che venisse applicata la patch.

Catena di attacco

Le fonti non descrivono la catena di attacco. Il requisito di credenziali valide e di accesso di rete all’interfaccia porta a considerare in particolare T1078 (Valid Accounts) per l’accesso iniziale al pannello. Un analista di IDC citato da CSO Online ritiene probabile che il punto d’ingresso sia la cattiva gestione degli accessi amministrativi, più che la vulnerabilità in sé: credenziali rubate con phishing o riutilizzate, interfacce lasciate su Internet, compromissioni precedenti. È un’ipotesi, non un fatto accertato.

Impatto per le aziende europee e italiane

Il quadro dell’articolo precedente non cambia: il firewall controlla il perimetro, e chi ottiene root su un firewall o su Panorama può modificarne policy e configurazione in modo da restare dentro anche dopo l’aggiornamento. Per i soggetti NIS2 l’aggiornamento va tracciato con priorità e tempi documentati, anche quando i firewall sono gestiti da un fornitore; un eventuale incidente significativo va notificato allo CSIRT Italia dell’ACN, e una compromissione che espone dati personali va valutata anche ai sensi del GDPR.

Cosa fare subito

1. Confronta la versione di ogni firewall e di ogni Panorama con l’elenco delle versioni corrette e aggiorna alla hotfix della tua linea di manutenzione.
2. Limita l’interfaccia di gestione ai soli indirizzi IP interni fidati, soprattutto sui dispositivi che non puoi aggiornare subito.
3. Attiva i Threat ID 510046 e 510047, se hai Threat Prevention, sapendo che richiedono la decrittazione SSL e danno una copertura parziale.
4. Cerca i tre indirizzi IP nei log del firewall, di Panorama e dei sistemi di raccolta centrale, a partire da prima del 14 ottobre.
5. Rivedi gli accessi amministrativi: account, provenienza delle connessioni, accessi in orari insoliti; cambia le credenziali e attiva l’autenticazione a più fattori dove disponibile.
6. Controlla la configurazione di Panorama e di ogni firewall gestito: modifiche inattese a policy, account e regole di accesso. Conserva log e prove prima di intervenire, come richiede il triage forense.

Come aiuta ARXDOME

Con ARX Horizon puoi cercare dal portale gli indirizzi IP indicati da Palo Alto Networks e controllarne la reputazione; ARX Sentry raccoglie i log dei firewall in un collettore centrale, così gli accessi all’interfaccia di gestione restano registrati anche fuori dal dispositivo. ARX Expose mostra le porte aperte e i prodotti riconosciuti sui servizi che esponi su Internet: aiuta a capire se un’interfaccia di gestione è raggiungibile da fuori.

Ultimo aggiornamento: 16 ottobre 2026