CVE-2026-0322: 能動的に悪用されたPAN-OSのRCE脆弱性、ルートアクセスを可能に

Palo Alto Networksは、PAN-OSの管理インターフェイスに影響を与える高深刻度のリモートコード実行脆弱性CVE-2026-0322に対処するセキュリティ更新を公開しました。この欠陥はCVSS 4.0スコアで8.6を持ち、ネットワークアクセスを持つ認証済みの攻撃者が脆弱なアプライアンス/システムでルート権限を持つ任意のコードを実行できるようにします。

Palo Alto Networksは2026年10月14日にこの問題を開示し、PAN-OS管理インターフェイスに対して非常に限定的な悪用がすでに観測されていたことを確認しました。この脆弱性はPAシリーズとVMシリーズのファイアウォール、Panoramaの仮想およびMシリーズのアプライアンスに影響を及ぼします。Cloud NGFWおよびPrisma Accessには影響を与えません。

この脆弱性は特に重要です。なぜなら、ファイアウォール管理インターフェイスは重要なネットワーク境界に位置するデバイスに対する特権的制御を提供するからです。このようなインフラストラクチャのルートレベルの妥協は、攻撃者にファイアウォールの構成とセキュリティ操作に関するかなりの制御を与え、保護された環境に対するさらなる活動の機会を作り出す可能性があります。

CISAもまた、この欠陥をその既知の悪用された脆弱性のカタログに追加し、関連する米国の連邦市民機関に対象を2026年10月17日までに修正するよう要求しました。

組織はSOC PrimeのAIネイティブな検出インテリジェンスプラットフォームを使用して、新たな脆弱性の悪用に対する防御を強化でき、これはセキュリティチームが脅威インテリジェンスを運用化し、脅威のハンティングを加速し、SIEM、EDR、XDR、データレイク環境全体にわたって関連する検出コンテンツを適用するのを支援します。

セキュリティ専門家はまた、Prime Architectを使用して新たな脅威を研究し、検出ロジックを生成および洗練し、インジケータをハンティングクエリに変換し、検出を組織のテレメトリに適応させることができます。

営業に連絡

CVE-2026-0322分析

CVE-2026-0322はPAN-OS管理インターフェイスに影響を与え、CWE-94（コードの生成の制御が不適切）下でコードインジェクション脆弱性に分類されます。すでに有効な資格情報を持ち、管理インターフェイスにアクセスできる攻撃者は、この脆弱性を利用して影響を受けたデバイスでルートとして任意のコードを実行できます。

インターネットから直接認証されていない侵害を許可する脆弱性とは異なり、この欠陥は高い特権を必要とします。しかし、その前提条件はリスクを排除しません。管理資格情報はフィッシング、資格情報の盗難、侵害されたパスワードの再利用、または侵入の初期段階を通じて取得できます。これらの資格情報が利用可能になると、管理アクセスを完全なオペレーティングシステムレベルのファイアウォール制御に変えることができます。

Palo Alto Networksは、脆弱なバージョンが影響を受けるために特別な製品設定は必要ないと述べています。PAN-OS管理インターフェイスが外部IPアドレス、特にインターネットからアクセス可能な場合、露出の最大です。ベンダーは、管理アクセスを信頼される内部アドレスに制限し、可能であれば指定されたジャンプボックスを通じてのみアクセスを許可することを推奨しています。

影響を受ける製品範囲には、PAシリーズおよびVMシリーズのファイアウォールとPanoramaアプライアンスをサポートするPAN-OS 10.2、11.1、11.2、12.1、12.2が含まれます。脆弱なビルドはリリースブランチに依存します。Palo Alto Networksは、Cloud NGFWおよびPrisma Accessが影響を受けないことを確認しています。

この問題は、攻撃の複雑さが低く、攻撃要件がなく、ユーザーの相互作用がなく、機密性、整合性、および可用性に大きな影響を与えるCVSS 4.0スコア8.6を持っています。特権要件は高く評価されており、管理ユーザーとして認証された場合のみ悪用が可能です。

成功した悪用は、攻撃者が制御するコードをルート権限で実行します。このレベルのアクセスは、構成を妨害したり、ローカルデータを検査したり、持続性を確立したり、安全対策を変更したり、妥協したシステムをより大規模な侵略の一部として使用する可能性があるため、ファイアウォールや集中管理Panoramaアプライアンス上で特に危険です。

Palo Alto Networksは、脆弱性を内部で発見し、それを特定し報告したセニアプリンシパルプロダクトセキュリティ研究者のSuraj Siddharudhを称賛しました。ベンダーは2026年10月14日にセキュリティ勧告を公開しました。

同社は、PAN-OS管理インターフェイスをターゲットにした「非常に限定的な悪用」を確認しましたが、脅威アクターの身元、ターゲットとされた組織の数または種類、および観察された特定の後利用活動については開示していません。同様にSecurityWeekは、キャンペーンの背後にいる攻撃者に関する情報はまだ公開されていないと報告しています。

公開時点で、概要した主要な情報源には公的に利用可能なCVE-2026-0322 PoCは記録されていません。しかし、現実の攻撃で確認された悪用は、組織がパブリックエクスプロイトコードの有無にかかわらず、修正を緊急のものと見なすべきことを意味します。

Palo Alto Networksは観測された脅威活動と限定的な悪用試みが関与する3つのIPアドレスを共有しました：66.42.72[.]14、208.83.239[.]114、および149.248.47[.]234。これらのインジケーターは、回顧的な調査を支援できますが、これらのアドレスからのトラフィックの不在をもってシステムが標的にされていないという証拠として扱わないでください。

CVE-2026-0322の検出には、防御者が管理インターフェイスの認証およびアクセスのテレメトリをレビューして、異常な管理活動、予期しないソースアドレス、異常なログインパターン、および認証直後に行われた疑わしいアクションをチェックすることが推奨されます。

成功した悪用がルートレベルのコード実行をもたらすため、チームは異常なシステムプロセス、予期しない構成の変更、疑わしい外部ネットワーク接続、新しく作成されたファイル、または通常のファイアウォール管理と矛盾するその他のアクティビティを調査すべきです。

CVE-2026-0322の緩和策

Palo Alto Networksは、影響を受けたPAN-OSインストールを適切な修正リリースにできるだけ早くアップグレードすることを推奨しています。この脆弱性に対する既知の完全な回避策はありません。

ベンダーは以下の修正済みリリースの閾値をリストしています：

• PAN-OS 12.2： 12.2.4以降； PAN-OS 12.1： 適用可能な修正ビルドは12.1.4-h12、12.1.7-h8、および12.1.10-h2を含みます； PAN-OS 11.2： 適用可能な修正は11.2.4-h22、11.2.7-h21、11.2.10-h15、11.2.13-h3、および11.2.16を含みます； PAN-OS 11.1： 修正は11.1.4-h37、11.1.6-h39、11.1.7-h11、11.1.10-h35、11.1.13-h15、11.1.16-h3を含みます； PAN-OS 10.2： 修正は10.2.7-h38、10.2.10-h41、10.2.13-h26、10.2.16-h11、および10.2.18-h12を含みます。サポートされていないリリースを実行中の管理者はサポートされている修正バージョンに移行すべきです。

即時リスク低減手段として、組織はPAN-OS管理インターフェイスをインターネットに広く公開しないことを確実にすべきです。Palo Alto Networksは、管理アクセスを信頼された内部IPアドレスに制限し、可能であれば専用のジャンプボックスからのみ管理接続を許可することを推奨しています。

Threat Preventionサブスクリプションを持つ顧客は、Threat IDs 510046および510047を使用して、アプリケーションおよび脅威コンテンツバージョン9159-10287以降で制限された保護を取得できます。ただし、この保護には、データプレーンインターフェイスを介して管理トラフィックをルーティングし、受信管理トラフィックを復号し、脅威予防検査を有効にすることを含む追加要件があります。ベンダーはこれをアップグレードの代替とせず、限定的なカバレッジと明示的に記述しています。

CVE-2026-0322の悪用を検出するために、セキュリティチームは成功した管理インターフェース認証を異常なコマンド実行、管理変更、またはシステムの動作と相関させるべきです。特に注意を払うべきなのは、予期しない外部アドレスまたは直接ファイアウォール管理を含まない通常の運用パターンを持つアカウントからの管理セッションです。

公開されたCVE-2026-0322のIOCには、66.42.72[.]14、208.83.239[.]114、および149.248.47[.]234が含まれます。組織はこれらのアドレスを含む対話を調査し、さらに広範な妥協の行動証拠を探るために、過去のネットワークと管理ログを検索するべきです。

この脆弱性は認証されたアクセスを必要とするため、管理者は特に資格情報の漏洩の兆候について、特権PAN-OSアカウントをレビューし、不要な管理ユーザーを削除し、強力な認証の実施を強制し、管理セッションがどこから発生するのかを制限すべきです。

疑わしい悪用が確認された場合、影響を受けたアプライアンスは、未許可の構成変更や異常なプロセスまたは接続について調査するべきです。デバイスに関連する管理資格情報は潜在的に公開されていると見なされ、必要に応じて封じ込め後に更新されるべきです。

SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、セキュリティチームが積極的に悪用された脆弱性を中心に検出エンジニアリングと脅威のハンティングを加速し、それに応じた検出ロジックをセキュリティスタックと利用可能なテレメトリに適応させることを可能にします。