Palo Alto PAN-OS: injectare de cod ca root, exploatată

📌 Evoluții ulterioare: Zero-day PAN-OS CVE-2026-0322: versiuni corectate și IoC (14 octombrie 2026)

Pe 14 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) CVE-2026-0322, o vulnerabilitate din interfața de administrare a Palo Alto Networks PAN-OS. Conform descrierii publicate în fișa NVD, un atacator autentificat cu acces de rețea la interfață poate executa cod arbitrar cu privilegii de root pe firewall. Gravitatea indicată de Palo Alto Networks este ridicată: CVSS 4.0 8.6.

Includerea în catalogul KEV arată că CISA are dovezi de exploatare activă. La momentul redactării există o singură sursă, avizul CISA cu fișa NVD asociată: toate detaliile care urmează provin de acolo.

Ce s-a întâmplat

CISA a inclus CVE-2026-0322 în KEV cu descrierea „Palo Alto Networks PAN-OS Code Injection Vulnerability” și a stabilit 17 octombrie 2026 ca termen pentru agențiile federale americane: trei zile. În catalog, utilizarea în campanii ransomware este marcată ca „necunoscută”.

Avizul cere aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, în acord cu directiva BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și cu cerințele CISA de triaj criminalistic. Pentru serviciile cloud se aplică indicațiile aceleiași directive; dacă nu există măsuri de atenuare, produsul trebuie scos din uz. Avizul cere și evaluarea expunerii la internet a fiecărui sistem.

Nici CISA, nici fișa NVD nu oferă detalii despre atacurile observate, autori, victime sau modul în care atacatorii au obținut accesul autentificat.

Detalii tehnice

• CVE: CVE-2026-0322, publicată pe 14 octombrie 2026. Fișa NVD are starea „Received”: NIST nu și-a făcut încă analiza.
• Produse afectate: PAN-OS pe firewall-urile PA-Series și VM-Series și pe Panorama (virtual și M-Series).
• Produse neafectate: conform descrierii, Cloud NGFW și Prisma Access nu sunt afectate.
• Componentă: interfața de administrare a PAN-OS.
• Condiție: atacatorul trebuie să fie autentificat și să aibă acces de rețea la interfața de administrare.
• Efect: executarea de cod arbitrar cu privilegii de root pe dispozitiv.
• Slăbiciune: CWE-94 (Code Injection), adică posibilitatea de a face sistemul să interpreteze și să execute cod furnizat de atacator.
• Gravitate: CVSS 4.0 8.6 (ridicată), evaluare furnizată de Palo Alto Networks. Vectorul AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H indică un atac prin rețea, de complexitate redusă, fără interacțiunea utilizatorului, dar care necesită privilegii ridicate; impactul asupra confidențialității, integrității și disponibilității dispozitivului este ridicat. În vector, Palo Alto indică și E:A (exploatare observată) și U:Red, cel mai înalt nivel al metricii de urgență a producătorului.
• Versiuni: sursele disponibile nu enumeră versiunile afectate și nici pe cele corectate. Referința este avizul Palo Alto Networks privind CVE-2026-0322, inclus printre referințele fișei NVD.
• Indicatori de compromitere: niciunul publicat în surse.
• Lanțul de atac: sursele nu îl descriu, așa că tehnicile MITRE ATT&CK nu pot fi asociate cu certitudine.

Descrierea oficială precizează că riscul scade mult dacă accesul la interfața de administrare este limitat doar la adrese IP interne de încredere, conform ghidurilor de configurare recomandate de Palo Alto Networks.

Impactul pentru companiile europene și italiene

Firewall-ul este punctul prin care trece traficul dintre rețeaua companiei și internet, și adesea și dintre segmentele interne. Un atacator cu privilegii de root pe firewall, sau pe o consolă Panorama care administrează mai multe, poate modifica politicile și configurațiile întregului perimetru.

Cerința de autentificare restrânge cercul celor care pot exploata vulnerabilitatea, dar CISA confirmă că exploatarea este deja în curs. Companiile cu interfața de administrare accesibilă din rețele nesigure sau din internet sunt cele mai expuse: este exact situația pe care descrierea o indică drept de evitat.

Pentru entitățile NIS2, vulnerabilitatea intră în gestionarea vulnerabilităților, cu priorități și termene documentate; dacă firewall-urile sunt administrate de un furnizor, verificarea trebuie făcută împreună cu acesta. Un incident semnificativ trebuie notificat CSIRT-ului național, care în Italia este CSIRT Italia din cadrul ACN. Dacă o compromitere a firewall-ului expune date personale, trebuie evaluată și ca încălcare a securității conform GDPR, cu eventuala notificare a autorității de supraveghere în 72 de ore. În sănătate, unde firewall-ul separă adesea rețelele clinice de cele administrative, verificarea trebuie făcută fără întârziere.

Ce trebuie făcut acum

1. Fă inventarul firewall-urilor PA-Series și VM-Series și al consolelor Panorama, inclusiv al celor administrate de furnizori, cu versiunea PAN-OS a fiecăruia.
2. Limitează accesul la interfața de administrare doar la adrese IP interne de încredere, așa cum indică descrierea oficială, și verifică să nu fie accesibilă din internet.
3. Aplică instrucțiunile Palo Alto Networks: urmează avizul privind CVE-2026-0322 pentru versiunile corectate și eventualele măsuri de atenuare.
4. Dacă nu poți interveni imediat: așa cum cere CISA, dacă nu există măsuri de atenuare, ia în calcul scoaterea dispozitivului din funcțiune.
5. Verifică accesele administrative: pentru că este nevoie de un utilizator autentificat, verifică ce conturi au acces la interfața de administrare, de la ce adrese s-au conectat și dacă există accese neașteptate.
6. Caută urme de exploatare: nu este suficient să actualizezi. Verifică modificările de configurație neprevăzute, conturile administrative noi, procesele și conexiunile de ieșire neobișnuite ale dispozitivului; folosește procedurile de verificare furnizate de Palo Alto Networks, dacă există.
7. Dacă găsești semne de compromitere: păstrează jurnalele și dovezile pentru analiza criminalistică înainte de reinstalare, apoi schimbă credențialele administrative, precum și cheile și certificatele configurate pe dispozitiv.

Cum ajută ARXDOME

ARX Expose verifică serviciile pe care compania ta le expune pe internet, porturile deschise, produsele recunoscute și vulnerabilitățile lor cunoscute: o modalitate de a afla dacă o interfață de administrare este accesibilă din exterior. ARX Sentry colectează jurnalele firewall-urilor într-un colector central, astfel încât accesele și modificările rămân înregistrate și în afara dispozitivului, și are pagini dedicate firewall-urilor, cu starea firmware-ului. ARX Horizon îmbogățește evenimentele cu liste de amenințări și informații despre vulnerabilități.

Ultima actualizare: 14 octombrie 2026