CVE-2026-0322: Aktywnie Wykorzystywana Luka R5E w PAN-OS Umożliwia Dostęp Roota

Firma Palo Alto Networks wydała aktualizacje zabezpieczeń dotyczące CVE-2026-0322, luki zdalnego wykonania kodu o wysokiej istotności, która wpływa na interfejs zarządzania PAN-OS. Luka ta ma wynik CVSS 4.0 na poziomie 8.6 i umożliwia uwierzytelnionemu atakującemu z dostępem do sieci wykonanie dowolnego kodu z uprawnieniami administratora na podatnym urządzeniu/systemie.

Palo Alto Networks ujawniło problem 14 października 2026 roku, potwierdzając, że już wcześniej zaobserwowano bardzo ograniczone wykorzystanie interfejsów zarządzania PAN-OS. Luka wpływa na zapory ogniowe PA-Series i VM-Series oraz na wirtualne urządzenia Panorama i M-Series. Chmura NGFW i Prisma Access nie są zagrożone.

Luka jest szczególnie istotna, ponieważ interfejsy zarządzania zaporami ogniowymi zapewniają uprzywilejowaną kontrolę nad urządzeniami umieszczonymi na kluczowych granicach sieci. Kompromitacja na poziomie root takiej infrastruktury może dać atakującym znaczną kontrolę nad konfiguracją zapory i operacjami bezpieczeństwa oraz stworzyć możliwości do dalszej działalności przeciwko chronionym środowiskom.

CISA dodała również tę lukę do swojego katalogu znanych luk wykorzystywanych, wymagając, by odpowiednie cywilne agencje federalne USA naprawiły ją do 17 października 2026 roku.

Organizacje mogą wzmocnić obronę przeciwko pojawiającym się wykorzystywaniom luk z pomocą platformy wykrywania AI-Native Detection Intelligence SOC Prime, która pomaga zespołom ds. bezpieczeństwa operacjonalizować informacje o zagrożeniach, przyspieszać polowanie na zagrożenia oraz stosować odpowiednie treści wykrywania w środowiskach SIEM, EDR, XDR i Data Lake.

Specjaliści ds. bezpieczeństwa mogą również korzystać z Prime Architect, aby badać nowe zagrożenia, generować i udoskonalać logikę wykrywania, przekształcać wskaźniki w zapytania łowieckie i dostosowywać wykrycia do telemetrii organizacyjnej.

Skontaktuj się z działem sprzedaży

Analiza CVE-2026-0322

CVE-2026-0322 wpływa na interfejs zarządzania PAN-OS i klasyfikowana jest jako luka wstrzykiwania kodu pod kodem CWE-94, Niewłaściwa Kontrola Generacji Kodu. Atakujący, który już posiada ważne dane uwierzytelniające i może uzyskać dostęp do interfejsu zarządzania, może wykorzystać słabość do wykonania dowolnego kodu jako root na zaatakowanym urządzeniu.

W przeciwieństwie do luk, które umożliwiają nieautoryzowaną kompromitację bezpośrednio z internetu, ta luka wymaga wysokich uprawnień. Jednakże ten wymóg nie eliminuje ryzyka. Poświadczenia administratora można uzyskać poprzez phishing, kradzież poświadczeń, ponowne użycie skompromitowanych haseł lub wcześniejsze etapy włamania. Gdy te poświadczenia są dostępne, pomyślne wykorzystanie może przekształcić dostęp zarządzania w pełną kontrolę na poziomie systemu operacyjnego nad zaporą ogniową.

Palo Alto Networks stwierdza, że nie jest wymagana żadna specjalna konfiguracja produktu, aby podatna wersja była zagrożona. Największa ekspozycja występuje, gdy interfejs zarządzania PAN-OS jest dostępny z zewnętrznych adresów IP, szczególnie z publicznego internetu. Dostawca zaleca ograniczenie dostępu zarządzania do zaufanych wewnętrznych adresów i w miarę możliwości pozwolenie na dostęp tylko przez wyznaczony skokowy.

Zakres produktów objętych luką obejmuje wersje PAN-OS 10.2, 11.1, 11.2, 12.1 i 12.2 na wspieranych zaporach PA-Series i VM-Series oraz urządzeniach Panorama. Dokładnie podatna wersja zależy od gałęzi wydania. Palo Alto Networks potwierdza, że chmura NGFW i Prisma Access są niezepsute.

Problem ma wynik CVSS 4.0 na poziomie 8.6 z niską złożonością ataku, brakiem wymogów ataku, brakiem interakcji użytkownika i wysokim wpływem na poufność, integralność i dostępność. Wymóg uprawnień jest oceniany wysoko, ponieważ wykorzystanie wymaga uwierzytelnionego użytkownika zarządzania.

Udane wykorzystanie uruchamia kod kontrolowany przez atakującego z uprawnieniami root. Ten poziom dostępu jest szczególnie niebezpieczny w przypadku zapory ogniowej lub zcentralizowanego urządzenia do zarządzania Panorama, ponieważ uprawnienia root mogą potencjalnie pozwolić atakującym zakłócać konfiguracje, przeglądać lokalne dane, ustanawiać trwałość, modyfikować kontrole bezpieczeństwa lub używać skompromitowanego systemu jako części szerszego naruszenia.

Palo Alto Networks odkryło lukę wewnętrznie i przypisało zasługę starszemu głównemu badaczowi ds. bezpieczeństwa produktów, Surajowi Siddharudh, za zidentyfikowanie i zgłoszenie jej. Dostawca opublikował swoje porady dotyczące bezpieczeństwa 14 października 2026 roku.

Firma potwierdziła „bardzo ograniczone wykorzystanie” celujące w interfejsy zarządzania PAN-OS, ale nie ujawniła tożsamości aktorów zagrożeń, liczby ani typów zaatakowanych organizacji ani szczegółowej działalności poeksploatacyjnej. SecurityWeek również informuje, że nie ujawniono jeszcze informacji na temat atakujących stojących za kampanią.

W momencie publikacji główne źródła przeglądane nie dokumentują publicznie dostępnego PoC CVE-2026-0322. Jednak potwierdzone wykorzystywania w rzeczywistych atakach oznaczają, że organizacje powinny traktować naprawę jako pilną bez względu na to, czy dostępny jest publiczny kod eksploatacyjny.

Palo Alto Networks podzieliło się trzema adresami IP związanymi z zaobserwowaną aktywnością zagrożeń i ograniczonymi próbami exploitacji: 66.42.72[.]14, 208.83.239[.]114 i 149.248.47[.]234. Te wskaźniki mogą wspierać retrospektywne dochodzenia, choć zespoły ds. bezpieczeństwa nie powinny traktować braku ruchu z tych adresów jako dowodu, że system nie był celem.

W celu wykrycia CVE-2026-0322 obrońcy powinni przeanalizować uwierzytelnianie interfejsu zarządzania i dane telemetryczne dotyczące dostępu pod kątem anormalnej aktywności administracyjnej, nieoczekiwanych źródłowych adresów, nietypowych wzorców logowania i podejrzanych działań występujących krótko po pomyślnym uwierzytelnieniu.

Ponieważ pomyślne wykorzystanie skutkuje wykonaniem kodu z uprawnieniami root, zespoły powinny również badać nieprawidłowe procesy systemowe, nieoczekiwane modyfikacje konfiguracji, podejrzane wychodzące połączenia sieciowe, nowo utworzone pliki lub inną działalność niespójną z rutynową administracją zaporą ogniową.

Łagodzenie CVE-2026-0322

Palo Alto Networks zaleca natychmiastową aktualizację dotkniętych instalacji PAN-OS do odpowiedniej naprawionej wersji. Nie ma znanego całkowitego obejścia tej luki.

Dostawca wymienia następujące progi wydania z poprawkami:

• PAN-OS 12.2: 12.2.4 lub nowsza; PAN-OS 12.1: odpowiednie naprawione kompilacje to 12.1.4-h12, 12.1.7-h8 i 12.1.10-h2; PAN-OS 11.2: odpowiednie naprawy obejmują 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 i 11.2.16; PAN-OS 11.1: naprawy obejmują 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 i 11.1.16-h3; PAN-OS 10.2: naprawy obejmują 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 i 10.2.18-h12. Administratorzy uruchamiający nieobsługiwane wersje powinni migrować do obsługiwanej, naprawionej wersji.

Jako natychmiastowy środek redukcji ryzyka, organizacje powinny upewnić się, że interfejsy zarządzania PAN-OS nie są szeroko eksponowane na internet. Palo Alto Networks zaleca ograniczenie dostępu do zaufanych wewnętrznych adresów IP i, w miarę możliwości, pozwolenie na połączenia zarządzające tylko z dedykowanego skoku.

Klienci z subskrypcją Threat Prevention mogą uzyskać ograniczoną ochronę przy użyciu identyfikatorów zagrożeń 510046 i 510047 począwszy od wersji treści Applications and Threats 9159-10287. Jednakże ta ochrona ma dodatkowe wymagania, w tym kierowanie ruchu zarządzania przez interfejs płaszczyzny danych, dekodowanie przychodzącego ruchu zarządzania i włączenie inspekcji Threat Prevention. Dostawca wyraźnie opisuje to jako ograniczone pokrycie, a nie jako zamiennik aktualizacji.

Aby wykryć wykorzystanie CVE-2026-0322, zespoły ds. bezpieczeństwa powinny korelować pomyślne uwierzytelnianie interfejsu zarządzania z nietypowym wykonywaniem poleceń, zmianami administracyjnymi lub zachowaniem systemowym. Szczególną uwagę należy zwrócić na sesje zarządzania pochodzące z nieoczekiwanych zewnętrznych adresów lub kont, których normalne wzorce operacyjne nie obejmują bezpośredniej administracji zaporą ogniową.

Opublikowane IOCs CVE-2026-0322 obejmują 66.42.72[.]14, 208.83.239[.]114 i 149.248.47[.]234. Organizacje powinny przeszukiwać historyczne logi sieciowe i zarządzania pod kątem interakcji z tymi adresami, a także polować na szersze dowody behawioralne kompromitacji.

Ponieważ luka wymaga uwierzytelnionego dostępu, administratorzy powinni dodatkowo przeglądać uprzywilejowane konta PAN-OS pod kątem oznak naruszenia poświadczeń, usuwać niepotrzebnych użytkowników administracyjnych, egzekwować silne praktyki uwierzytelniania i ograniczać, skąd mogą pochodzić sesje administracyjne.

Jeśli zidentyfikowane zostanie podejrzane wykorzystanie, dotknięte urządzenia powinny być zbadane pod kątem nieautoryzowanych zmian w konfiguracji oraz nieprawidłowych procesów lub połączeń. Poświadczenia administracyjne związane z urządzeniem powinny być uznane za potencjalnie narażone i zmienione po opanowaniu sytuacji, gdzie to stosowne.

Platforma AI-Native Detection Intelligence SOC Prime umożliwia zespołom ds. bezpieczeństwa przyspieszenie inżynierii wykrywania i polowania na zagrożenia dotyczące aktywnie wykorzystywanych luk, dostosowując logikę wykrywania do ich stosu zabezpieczeń i dostępnej telemetrii.