Aktiv utnyttjande av sårbarheten i Palo Alto PAN-OS som möjliggör fjärrkörning av kod (CVE-2026-0322)

Palo Alto Networks har släppt säkerhetsuppdateringar som åtgärdar CVE-2026-0322, en sårbarhet med hög allvarlighetsgrad som möjliggör autentiserad fjärrkörning av kod (RCE) och som påverkar PAN-OS:s administrationsgränssnitt. Leverantören har bekräftat att sårbarheten aktivt utnyttjas i det vilda, och man har observerat utnyttjandeförsök riktade mot exponerade administrationsgränssnitt.

Ett lyckat utnyttjande gör det möjligt för en autentiserad angripare med nätverksåtkomst till administrationsgränssnittet att köra godtycklig kod med root-behörighet, vilket potentiellt kan leda till att brandväggen eller Panorama-administrationsplattformen komprometteras fullständigt.

Sårbarheten har lagts till i CISA:s katalog över kända utnyttjade sårbarheter (KEV), vilket understryker den förhöjda risken och kräver prioriterade åtgärder från amerikanska federala myndigheter.

Detaljer om sårbarheten

Enligt Palo Alto Networks finns sårbarheten i PAN-OS-hanteringsgränssnittet och gör det möjligt för autentiserade angripare med nätverksåtkomst att köra godtyckliga kommandon som root-användare.

Korrigerade versioner

Uppgradera till följande PAN-OS-versioner eller senare:

• PAN-OS 12.2.4+
• PAN-OS 12.1.4-h12+, 12.1.7-h8+, 12.1.10-h2+
• PAN-OS 11.2.4-h22+, 11.2.7-h21+, 11.2.10-h15+, 11.2.13-h3+, 11.2.16+
• PAN-OS 11.1.4-h37+, 11.1.6-h39+, 11.1.7-h11+, 11.1.10-h35+, 11.1.13-h15+, 11.1.16-h3+
• PAN-OS 10.2.7-h38+, 10.2.10-h41+, 10.2.13-h26+, 10.2.16-h11+, 10.2.18-h12+

Berörda produkter

Följande produkter berörs:

• Brandväggar i PA-serien
• Brandväggar i VM-serien
• Panorama virtuella enheter
• Panorama M-serien

Följande tjänster påverkas inte:

• Cloud NGFW
• Prisma Access

Observerade indikatorer på intrång

Palo Alto Networks har identifierat följande IP-adresser som kopplade till observerade exploateringsförsök:

Obs! Dessa indikatorer bör endast betraktas som ledtrådar i utredningen. Att blockera dessa IP-adresser i sig kommer inte att åtgärda sårbarheten.

Rekommenderade åtgärder

1. Uppdatera drabbade enheter omedelbart till en version av PAN-OS där felet är åtgärdat.
2. Granska alla administrationsgränssnitt som är anslutna till internet.
3. Begränsa administratörsåtkomsten till endast betrodda interna förvaltningsnätverk.
4. Inaktivera direkt internetexponering av hanteringsgränssnittet.
5. Undersök autentiseringsloggarna för att upptäcka misstänkt administratörsaktivitet.

Palo Alto Networks rekommenderar särskilt följande:

• Att begränsa åtkomsten till förvaltningsgränssnittet till betrodda interna IP-adresser.
• Använd en dedikerad hopphost som fungerar som den enda åtkomstpunkten för hanteringen.

Ytterligare bästa praxis:

• Tillämpa MFA för alla administratörskonton.
• Implementera hantering av privilegierad åtkomst (PAM).
• Separera administrativ trafik från produktionsnätverk.
• Aktivera omfattande revisionsloggning och SIEM-insamling.
• Övervaka nya eller ändrade administratörskonton.

Om du är orolig för någon av de hot som beskrivs i detta meddelande eller behöver hjälp med att avgöra vilka åtgärder du bör vidta för att skydda dig mot de mest väsentliga hoten som din organisation står inför, vänligen kontakta din kundansvarige eller ta kontakt med oss för att ta reda på hur du kan skydda din organisation.