Palo Alto PAN-OS, CVE-2026-0322 sfruttata: root sui firewall via interfaccia di gestione
Palo Alto Networks conferma uno "sfruttamento molto limitato" di CVE-2026-0322 (CVSS 4.0: 8.6) in PAN-OS. Permette esecuzione di codice come root a chi ha accesso privilegiato alla gestione.
- CVE-2026-0322 in PAN-OS: code injection nell'interfaccia di gestione, esecuzione di codice come root
- Sfruttamento 'molto limitato' confermato da Palo Alto; CVSS 4.0 8.6
- Colpiti PA-Series, VM-Series e Panorama; Cloud NGFW e Prisma Access no
- Aggiornare a una versione corretta e limitare l'accesso alla gestione a reti fidate
Palo Alto Networks ha pubblicato il 14 ottobre 2026 un avviso di sicurezza su CVE-2026-0322, una vulnerabilità di PAN-OS già sfruttata in attacchi reali. Il difetto riguarda l’interfaccia di gestione e consente di eseguire codice con privilegi di root sui firewall colpiti. L’azienda parla di “very limited exploitation” e invita i clienti ad aggiornare appena possibile.
Che cos’è il difetto
Si tratta di una code injection, classificata come CWE-94. Il punteggio è CVSS 4.0 di 8.6 e l’azienda assegna la massima urgenza di rimedio. La scoperta è attribuita al ricercatore interno Suraj Siddharudh.
Non è un attacco senza autenticazione. L’aggressore deve avere un accesso autenticato con privilegi elevati e raggiungere via rete l’interfaccia di gestione. Non serve alcuna interazione da parte dell’utente. Con l’exploit ottiene il massimo controllo sul dispositivo. Il rischio è maggiore se l’interfaccia è esposta a internet.
Non occorre una configurazione particolare: ogni installazione PAN-OS vulnerabile è interessata. Palo Alto Networks non ha indicato chi sia dietro gli attacchi né quante organizzazioni siano state prese di mira.
Prodotti coinvolti
- firewall hardware PA-Series;
- firewall virtuali VM-Series;
- Panorama, su sistemi virtuali o appliance M-Series.
Cloud NGFW e Prisma Access non sono interessati e non richiedono interventi.
Versioni corrette
Le release che risolvono il problema includono PAN-OS 12.2.4, 12.1.10-h2, 11.1.16-h3 e 10.2.18-h12. Per il ramo 11.2 sono indicate 11.2.4-h22, 11.2.7-h21, 11.2.10-h15 e 11.2.13-h3. La versione 11.2.16 era attesa per il 15 ottobre. Sono previsti hotfix anche per altre release di manutenzione precedenti: va seguito il percorso di aggiornamento indicato nell’avviso.
Cosa fare
Non esiste un workaround noto. Limitare l’accesso alla gestione a indirizzi interni attendibili, meglio se tramite un jump box dedicato, riduce l’esposizione ma non sostituisce la patch. Le indicazioni del vendor sconsigliano di esporre le interfacce amministrative a internet o a reti non fidate.
L’avviso segnala inoltre che varianti dell’attacco potrebbero eludere le firme attuali. Per questo la protezione raccomandata è un rilascio corretto e supportato. Gli amministratori possono usare gli indirizzi indicati per controllare il traffico verso la gestione, dando priorità agli aggiornamenti e a controlli di accesso più stretti.
L’interfaccia di gestione di PAN-OS è già stata al centro di attacchi precedenti, come quelli su CVE-2025-0108. La fonte precisa però che si tratta di falle distinte, senza legami accertati con l’attività attuale.
Indicatori di compromissione (IoC)
66[.]42[.]72[.]14
208[.]83[.]239[.]114
149[.]248[.]47[.]234Fonte: Cyber Security News · Foto: Cyber Security News
