Hitelesített távoli kódfuttatás a PAN-OS felügyeleti felületén (CVE-2026-0322)

Mi történt

A PAN-OS felügyeleti felületén lévő sérülékenység lehetővé teszi, hogy egy hitelesített, hálózati hozzáféréssel rendelkező támadó root jogosultsággal tetszőleges kódot futtasson a tűzfalon. A támadás hálózaton keresztül kivitelezhető, összetettsége alacsony, és nem igényel felhasználói beavatkozást, de emelt szintű hitelesített hozzáférést igényel. A Palo Alto Networks a hibát magas súlyosságúnak minősíti, a CVSS 4.0 szerinti pontszám pedig 8.6.

A kihasználás jelenleg is aktív. A CISA 2026. október 14-én felvette a CVE-2026-0322 azonosítót az ismert kihasznált sérülékenységek katalógusába (Known Exploited Vulnerabilities, KEV), határidőként pedig 2026. október 17-ét jelölte meg. Az ENISA EUVD 2026. október 14-e óta rögzíti a kihasználást, a Palo Alto Networks pedig közölte, hogy a felügyeleti felület ellen irányuló, nagyon korlátozott kihasználást figyeltek meg.

A sikeres kihasználás root szintű irányítást biztosít a támadónak az érintett tűzfal felett, és jelentős hatással van a bizalmasságra, a sértetlenségre és a rendelkezésre állásra. A Palo Alto Networks megjegyzi, hogy a felügyeleti felület elérésének kizárólag megbízható belső IP-címekre történő korlátozása minimálisra csökkenti a kockázatot.

Kit érint

Ez a sérülékenység a PA-Series és a VM-Series tűzfalakon, valamint a Panorama rendszeren futó PAN-OS szoftvert érinti, beleértve a virtuális és az M-Series Panorama eszközöket is. Az érintett kiadások: 12.2.0-tól a 12.2.4 előtti verziókig, 12.1.0-tól a 12.1.10-h2 előtti verziókig, 11.2.0-tól a 11.2.16 előtti verziókig, 11.1.0-tól a 11.1.16-h3 előtti verziókig, valamint 10.2.0-tól a 10.2.18-h12 előtti verziókig. A Cloud NGFW és a Prisma Access nem érintettek.

Mit kell most tenni

1. Telepítse a saját verzióágához tartozó javított PAN-OS kiadást. A javított kiadások:

• PAN-OS 12.2: 12.2.4
• PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8, 12.1.10-h2
• PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16
• PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3
• PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12

1. A Palo Alto Networks közlése szerint nincs ismert kerülő megoldás. A Threat Prevention-előfizetéssel rendelkező ügyfelek korlátozott védelmet kaphatnak, ha az Applications and Threats tartalom 9159-10287 vagy annál újabb verziójában engedélyezik a 510046 és 510047 Threat ID-t, és követik a Palo Alto Networks biztonsági közleményében szereplő konfigurációs lépéseket.

1. A Palo Alto Networks által javasolt bevált gyakorlatok szerinti telepítési irányelvek alapján korlátozza a felügyeleti felület elérését megbízható belső IP-címekre.

Hogyan észlelhető

A Palo Alto Networks nem tett közzé erre a sérülékenységre vonatkozó konkrét kompromittálódást jelző mutatókat. Mivel a gyártó a felügyeleti felület ellen irányuló kihasználásról számolt be, vizsgálja át a felügyeleti sík hitelesítési és parancsvégrehajtási tevékenységét, és keressen váratlan hitelesített munkameneteket vagy módosításokat. Ha Threat Prevention terméket használ, ellenőrizze, hogy a 510046 és 510047 Threat ID engedélyezve vannak-e, így a kihasználási kísérletek észlelhetők vagy korlátozhatók.

A javításon túl

Egy tűzfal felügyeleti felületén kihasznált távoli kódfuttatási hiba okot ad arra, hogy a javítás telepítése előtt ellenőrizze, elérte-e már a támadó az eszközt. Mivel a CISA KEV és az ENISA EUVD is aktív kihasználást tart nyilván, az incidenskezelési készenléti szolgáltatás és a Menedzselt kiberbiztonsági felügyelet (MDR) akkor is észlelést és reagálást biztosít, ha a támadó már érvényes hitelesítő adatokkal bejutott. A Bevezetési és felmérési szolgáltatások segítségével tesztelhető a felügyeleti sík, és csökkenthető a kitettsége, így a következő PAN-OS sérülékenység nem találja nyitva ugyanazt az ajtót.