Palo Alto Networks: luka w panelu PAN-OS wykorzystywana w atakach. Są poprawki

Palo Alto Networks ujawniło 14 października lukę CVE-2026-0322 w interfejsie zarządzania PAN-OS i potwierdziło jej wykorzystywanie w atakach. Zalogowany napastnik mający dostęp sieciowy do panelu może wykonywać kod z uprawnieniami root. Producent zaleca jak najszybsze usunięcie podatności.

Co wiadomo o zagrożeniu

Producent określa zaobserwowane wykorzystanie jako bardzo ograniczone. Publiczny komunikat nie wskazuje sprawców ani liczby poszkodowanych organizacji. Luka ma ocenę 8,6 w skali CVSS, a warunkiem ataku jest wcześniejsze uwierzytelnienie oraz możliwość połączenia z interfejsem zarządzania.

Problem dotyczy zapór PA-Series i VM-Series oraz systemów Panorama w postaci maszyn wirtualnych i urządzeń M-Series. Cloud NGFW i Prisma Access nie są objęte tą podatnością.

Największe ryzyko występuje tam, gdzie panel zarządzania jest dostępny z zewnętrznych adresów internetowych. Ograniczenie dostępu zmniejsza ryzyko, ale nie usuwa błędu w oprogramowaniu. Producent nie podaje obejścia, które zastępowałoby poprawkę.

Co zrobić teraz

• Zinwentaryzuj urządzenia oraz pełne numery wydań PAN-OS, łącznie z oznaczeniami poprawek. Porównaj je z tabelą w komunikacie producenta.
• Zainstaluj poprawione wydanie właściwe dla używanej gałęzi. Aktualizacje przygotowano dla linii 10.2, 11.1, 11.2, 12.1 i 12.2. Starsze, niewspierane wersje wymagają przejścia na wspieraną wersję z poprawką.
• Dla PAN-OS 11.2.16 komunikat wskazuje planowaną dostępność 15 października. Sprawdź rzeczywistą dostępność przed zaplanowaniem instalacji; nie traktuj zapowiedzi jako potwierdzenia wydania.
• Ogranicz panel zarządzania do zaufanych adresów wewnętrznych, najlepiej przez wydzielony serwer pośredniczący do administracji.
• Przejrzyj dostęp administracyjny i dzienniki pod kątem nietypowych połączeń. W analizie uwzględnij adresy powiązane z próbami ataków, opublikowane przez producenta.

Sygnatury ochronne mają ograniczony zakres wykrywania. Palo Alto Networks ostrzega, że mogą rozpoznawać znane wzorce ataku, podczas gdy ich odmiany pozostaną niewykryte. Włączenie ochrony nie powinno być podstawą do odłożenia aktualizacji.

Komentarz SecurHUB

Panel administracyjny zapory powinien być dostępny wyłącznie dla uprawnionych osób z kontrolowanych punktów sieci. Audyt bezpieczeństwa infrastruktury może pomóc ocenić dostępność takich interfejsów oraz sposób zarządzania kontami i aktualizacjami.

Źródła: Palo Alto Networks, BleepingComputer