Analisi editoriale · Fonti primarie
Sfruttamento attivo limitato di una RCE nell’interfaccia di gestione PAN-OS
Palo Alto Networks ha osservato uno sfruttamento molto limitato di CVE-2026-0322, una falla di esecuzione remota di codice autenticata nell’interfaccia di gestione PAN-OS. L’inizio dell’attività è ignoto; la divulgazione è del 14 ottobre e l’avviso è stato aggiornato il 15 ottobre 2026.
Fatti confermati
CVE-2026-0322 consente a un aggressore autenticato con accesso di rete all’interfaccia di gestione PAN-OS di eseguire codice arbitrario con privilegi root. Palo Alto Networks classifica la maturità come attaccata e dichiara uno sfruttamento molto limitato contro l’interfaccia. Il fornitore non ha indicato quando sia iniziato né chi ne sia responsabile. [1]
Chi deve valutare l’esposizione
Sono interessati firewall PA-Series e VM-Series e appliance Panorama virtuali e M-Series su rami PAN-OS vulnerabili. Cloud NGFW e Prisma Access non sono interessati. Il rischio è massimo quando la gestione è raggiungibile da Internet, ma lo sfruttamento richiede credenziali valide ad alto privilegio e accesso di rete all’interfaccia. [1]
Impatto su missione e governance
L’esecuzione root su un firewall o sul suo gestore centrale può compromettere l’integrità delle policy di sicurezza, del routing e della fiducia amministrativa. I CISO devono trattare un piano di gestione vulnerabile ed esposto come rischio tecnologico e fallimento della governance degli accessi privilegiati. Ogni sessione sospetta deve attivare la verifica delle modifiche di configurazione e delle relazioni di fiducia a valle, non solo la correzione del software.
Priorità di risposta
Aggiornare alla versione corretta indicata per ciascun ramo PAN-OS; non esiste un workaround completo. Limitare subito l’accesso di gestione a indirizzi interni attendibili, preferibilmente tramite un jump box dedicato. Esaminare account privilegiati e telemetria delle sessioni e cercare i tre indirizzi sorgente pubblicati dal fornitore senza affidarsi solo agli indicatori. Le firme Threat Prevention 510046 e 510047 offrono copertura limitata e richiedono condizioni specifiche di instradamento, decifratura e ispezione. [1] In caso di sospetto, preservare le prove, contenere l’accesso amministrativo e coordinare il ripristino nel processo di risposta. [2]
Elementi sconosciuti
Le informazioni pubbliche non stabiliscono vittime, numero di dispositivi compromessi, metodo di acquisizione delle credenziali, obiettivi o movimento laterale. La formulazione del fornitore conferma uno sfruttamento limitato, non una campagna estesa. [1]
Fonti
- Palo Alto Networks, “CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface,” published 14 October 2026, updated 15 October 2026, accessed 16 October 2026
- NIST, “SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile,” final, April 2025, accessed 16 October 2026