Zero-day PAN-OS CVE-2026-0322: versiuni corectate și IoC

CVE-2026-0322 din Palo Alto Networks PAN-OS, injectarea de cod în interfața de management care permite unui utilizator autentificat să execute cod ca root, a intrat în catalogul KEV al CISA pe 14 octombrie 2026. În zilele următoare au apărut detaliile care lipseau: avizul Palo Alto Networks cu versiunile corectate pentru fiecare ramură, adresele IP asociate atacurilor, semnăturile Threat Prevention și evaluarea completă a NIST. Versiunile sunt confirmate de avizele Canadian Centre for Cyber Security, ale KISA din Coreea și ale CSA din Singapore.

Ce spune avizul Palo Alto Networks

Potrivit avizului producătorului, citat de BleepingComputer, SecurityWeek și CSO Online, a fost observată o exploatare „foarte limitată” care vizează interfața de management. Vulnerabilitatea a fost descoperită intern de Palo Alto Networks și, după cum relatează SecurityWeek și CSO Online, nu este nevoie de nicio configurație specială pentru a fi expus: e suficient ca interfața de management să fie accesibilă cuiva cu credențiale valide.

Producătorul spune că nu există soluții temporare (workaround). Riscul este cel mai mare când interfața de management acceptă conexiuni de la adrese IP publice de pe Internet; recomandarea rămâne limitarea ei doar la adrese interne de încredere.

Sursele nu spun când a început exploatarea, cine se află în spatele ei, câți clienți au fost afectați și nici cum au obținut atacatorii credențialele. BleepingComputer și CSO Online au cerut lămuriri de la Palo Alto Networks, fără să primească un răspuns până la momentul publicării.

Versiuni corectate

Versiunile care corectează vulnerabilitatea, conform avizelor KISA și CSA din Singapore (în parte aceleași în avizul canadian):

• PAN-OS 12.2: 12.2.4
• PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8, 12.1.10-h2
• PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16
• PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3
• PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12

Fiecare hotfix se aplică propriei linii de mentenanță: alege-o pe cea care corespunde versiunii instalate. Potrivit BleepingComputer și CSO Online, 11.2.16 era așteptată pe 15 octombrie și este calea de actualizare pentru cine folosește 11.2.14 sau 11.2.15; de altfel, nu apare în prima versiune a avizului canadian, dar este în avizele KISA și CSA din 16 octombrie. Dacă folosești versiuni care nu mai sunt suportate, trebuie să treci la o versiune suportată și corectată. Produsele afectate rămân firewall-urile PA-Series și VM-Series și Panorama (virtual și M-Series); Cloud NGFW și Prisma Access nu sunt afectate.

Indicatori și detecție

BleepingComputer redă cele trei adrese IP pe care Palo Alto Networks le asociază exploatării; SecurityWeek confirmă că indicatorii publicați sunt câteva adrese IP:

• 66.42.72[.]14
• 208.83.239[.]114
• 149.248.47[.]234

Dacă ai un abonament Threat Prevention, poți activa Threat ID 510046 și 510047. Potrivit CSO Online, care citează secțiunea FAQ a avizului, acoperirea este limitată și necesită decriptarea SSL a traficului către interfața de management; pot exista variante ale atacului pe care semnăturile nu le recunosc. De aceea Palo Alto Networks recomandă oricum actualizarea.

Evaluarea NIST și catalogul KEV

Fișa NVD a trecut în starea „Analyzed”. Scorului CVSS 4.0 de 8.6 atribuit de Palo Alto i se adaugă cel al NIST: CVSS 3.1 7.2 (ridicat), vector AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H. În ambele evaluări contează cerința privilegiilor ridicate (PR:H). Printre configurațiile afectate, NIST include și versiunile anterioare 10.2.

Termenul stabilit de CISA pentru agențiile federale americane (17 octombrie) a expirat deja. După cum subliniază CSO Online, fișa KEV cere și trierea criminalistică prevăzută de directiva BOD 26-04: verificarea dacă sistemul a fost compromis înainte de aplicarea patch-ului.

Lanțul de atac

Sursele nu descriu lanțul de atac. Cerința unor credențiale valide și a accesului de rețea la interfață trimite în special la T1078 (Valid Accounts) pentru accesul inițial la panou. Un analist IDC citat de CSO Online consideră probabil ca punctul de intrare să fie gestionarea slabă a accesului administrativ, mai degrabă decât vulnerabilitatea în sine: credențiale furate prin phishing sau refolosite, interfețe lăsate expuse pe Internet, compromiteri anterioare. Este o ipoteză, nu un fapt stabilit.

Impactul pentru companiile europene și italiene

Tabloul din articolul nostru anterior nu se schimbă: firewall-ul controlează perimetrul, iar cine obține root pe un firewall sau pe Panorama îi poate modifica politicile și configurația astfel încât să rămână în rețea chiar și după actualizare. Pentru entitățile NIS2, actualizarea trebuie urmărită cu prioritate și termene documentate, inclusiv când firewall-urile sunt gestionate de un furnizor; un eventual incident semnificativ trebuie notificat CSIRT-ului național (în Italia, CSIRT Italia al ACN), iar o compromitere care expune date personale trebuie evaluată și conform GDPR.

Ce să faci imediat

1. Compară versiunea fiecărui firewall și a fiecărui Panorama cu lista versiunilor corectate și actualizează la hotfix-ul liniei tale de mentenanță.
2. Limitează interfața de management doar la adrese IP interne de încredere, mai ales pe dispozitivele pe care nu le poți actualiza imediat.
3. Activează Threat ID 510046 și 510047, dacă ai Threat Prevention, știind că necesită decriptare SSL și oferă o acoperire parțială.
4. Caută cele trei adrese IP în jurnalele firewall-ului, ale Panorama și ale sistemelor de colectare centralizată, începând de dinainte de 14 octombrie.
5. Revizuiește accesul administrativ: conturi, proveniența conexiunilor, accesări la ore neobișnuite; schimbă credențialele și activează autentificarea multifactor unde este disponibilă.
6. Verifică configurația Panorama și a fiecărui firewall gestionat: modificări neașteptate ale politicilor, conturilor și regulilor de acces. Păstrează jurnalele și dovezile înainte de a interveni, așa cum cere trierea criminalistică.

Cum ajută ARXDOME

Cu ARX Horizon poți căuta din portal adresele IP indicate de Palo Alto Networks și le poți verifica reputația; ARX Sentry colectează jurnalele firewall-urilor într-un colector central, astfel încât accesările interfeței de management rămân înregistrate și în afara dispozitivului. ARX Expose arată porturile deschise și produsele recunoscute pe serviciile pe care le expui pe Internet: te ajută să afli dacă o interfață de management este accesibilă din exterior.

Ultima actualizare: 16 octombrie 2026