Exploitation active d'une vulnérabilité permettant l'exécution de code à distance dans Palo Alto PAN-OS (CVE-2026-0322)

Palo Alto Networks a publié des mises à jour de sécurité corrigeant la vulnérabilité CVE-2026-0322, une faille de gravité élevée permettant l'exécution de code à distance (RCE) après authentification, qui affecte l'interface de gestion de PAN-OS. L'éditeur a confirmé que cette vulnérabilité fait actuellement l'objet d'exploitations actives dans la nature, des tentatives d'exploitation ayant été observées et ciblant des interfaces de gestion exposées.

Une exploitation réussie permet à un attaquant authentifié disposant d’un accès réseau à l’interface de gestion d’exécuter du code arbitraire avec des privilèges root, ce qui peut entraîner la compromission totale du pare-feu ou de la plateforme de gestion Panorama.

Cette vulnérabilité a été ajoutée au catalogue des vulnérabilités connues pour être exploitées (KEV) de la CISA, ce qui souligne le risque élevé qu’elle présente et nécessite une correction prioritaire de la part des agences fédérales américaines.

Détails de la vulnérabilité

Selon Palo Alto Networks, la faille réside dans l'interface de gestion PAN-OS et permet à des attaquants authentifiés disposant d'un accès au réseau d'exécuter des commandes arbitraires en tant qu'utilisateur root.

Versions corrigées

Effectuez une mise à jour vers les versions PAN-OS suivantes ou ultérieures :

• PAN-OS 12.2.4+
• PAN-OS 12.1.4-h12+, 12.1.7-h8+, 12.1.10-h2+
• PAN-OS 11.2.4-h22+, 11.2.7-h21+, 11.2.10-h15+, 11.2.13-h3+, 11.2.16+
• PAN-OS 11.1.4-h37+, 11.1.6-h39+, 11.1.7-h11+, 11.1.10-h35+, 11.1.13-h15+, 11.1.16-h3+
• PAN-OS 10.2.7-h38+, 10.2.10-h41+, 10.2.13-h26+, 10.2.16-h11+, 10.2.18-h12+

Produits concernés

Les produits suivants sont concernés :

• Pare-feu de la série PA
• Pare-feu de la série VM
• Appareils virtuels Panorama
• Appareils Panorama de la série M

Les services suivants nesont pas concernés:

• Cloud NGFW
• Prisma Access

Indicateurs de compromission observés

Palo Alto Networks a identifié les adresses IP suivantes comme étant liées à des tentatives d'exploitation observées :

Remarque: ces indicateurs doivent être considérés uniquement comme des pistes d'enquête. Le blocage de ces adresses IP ne suffira pas à lui seul à atténuer la vulnérabilité.

Mesures recommandées

1. Appliquez immédiatement le correctif à une version corrigée de PAN-OS sur les appareils concernés.
2. Passez en revue toutes les interfaces de gestion exposées à Internet.
3. Limitez l'accès administratif aux seuls réseaux de gestion internes de confiance.
4. Désactivez l'exposition directe à Internet de l'interface de gestion.
5. Examinez les journaux d’authentification à la recherche d’activités administratives suspectes.

Palo Alto Networks recommande tout particulièrement :

• De limiter l'accès à l'interface de gestion aux adresses IP internes de confiance.
• D'utiliser un hôte relais dédié servant de point d'accès unique à la gestion.

Autres bonnes pratiques :

• Appliquer l'authentification multifactorielle (MFA) à tous les comptes administratifs.
• Mettre en œuvre une gestion des accès privilégiés (PAM).
• Séparer le trafic de gestion des réseaux de production.
• Activer la journalisation complète des audits et l’intégration dans un système SIEM.
• Surveillez la création ou la modification des comptes administrateurs.

Si l’une des menaces décrites dans ce bulletin vous préoccupe ou si vous avez besoin d’aide pour déterminer les mesures à prendre afin de vous protéger contre les menaces les plus importantes auxquelles votre organisation est confrontée, veuillez contacter votre chargé de compte ou nous contacter pour savoir comment protéger votre organisation.