CVE-2026-0322：被主动利用的PAN-OS RCE漏洞可实现根访问

Palo Alto Networks 已发布安全更新，解决了 CVE-2026-0322，这是一个影响 PAN-OS 管理接口的严重远程代码执行漏洞。此缺陷的 CVSS 4.0 分数为 8.6，允许具有网络访问权限的经过身份验证的攻击者在易受攻击的设备/系统上以 root 特权执行任意代码。

Palo Alto Networks 于 2026 年 10 月 14 日披露了这一问题，并确认已经观察到对 PAN-OS 管理接口的极少量利用。该漏洞影响了 PA 系列和 VM 系列防火墙以及 Panorama 虚拟和 M 系列设备。Cloud NGFW 和 Prisma Access 不受影响。

该漏洞尤其重要，因为防火墙管理接口提供了对位于关键网络边界的设备的特权控制。对此类基础设施的 root 级别的妥协可以使攻击者对防火墙配置和安全操作产生重大控制，并为进一步攻击受保护环境创造机会。

CISA 还已将此缺陷添加到其已知被利用的漏洞目录中，要求相关的美国联邦民用机构在 2026 年 10 月 17 日之前进行修复。

组织可以通过 SOC Prime 的 AI 原生检测信息平台加强对新兴漏洞利用的防御，该平台帮助安全团队实现威胁情报的操作化，加速威胁狩猎，并在 SIEM、EDR、XDR 和数据湖环境中应用相关检测内容。

安全专业人员还可以使用 Prime Architect 研究新出现的威胁，生成和完善检测逻辑，将指标转换为狩猎查询，并将检测调整为组织性遥测。

联系销售

CVE-2026-0322 分析

CVE-2026-0322 影响 PAN-OS 管理接口，被分类为 CWE-94 下的不当代码生成控制漏洞。已经拥有有效凭据并能够访问管理接口的攻击者可以利用该漏洞在受影响设备上以 root 身份执行任意代码。

与允许未经身份验证的互联网直接妥协的漏洞不同，此缺陷需要高特权。然而，这一前提并没有消除风险。管理员登录凭证可以通过网络钓鱼、凭证盗窃、重用已泄露的密码或入侵的早期阶段获取。一旦这些凭据可用，成功利用可以将管理访问转化为防火墙的完整操作系统级别控制。

Palo Alto Networks 表示，受影响版本无需特殊产品配置即可受到影响。当 PAN-OS 管理接口从外部 IP 地址（尤其是公共互联网）可访问时，曝光风险最高。供应商建议限制管理访问到受信任的内部地址，并最好仅通过专用跳板箱允许访问。

受影响的产品范围包括支持的 PA 系列和 VM 系列防火墙和 Panorama 设备上的 PAN-OS 10.2、11.1、11.2、12.1 和 12.2。确切的易受攻击版本取决于发布分支。Palo Alto Networks 确认 Cloud NGFW 和 Prisma Access 不受影响。

该问题的 CVSS 4.0 分数为 8.6，攻击复杂度低，无攻击要求，无用户交互，对机密性、完整性和可用性影响较高。其特权要求被评为高，因为利用需要经过身份验证的管理用户。

成功利用可以使攻击者控制的代码以 root 权限运行。这种访问级别在防火墙或集中管理的 Panorama 设备上特别危险，因为 root 权限可能允许攻击者干扰配置，检查本地数据，建立持久性，修改安全控制，或将受感染系统用作更大范围入侵的一部分。

Palo Alto Networks 在内部发现了这一漏洞，并将此缺陷的识别和报告归功于高级首席产品安全研究员 Suraj Siddharudh。该供应商在 2026 年 10 月 14 日发布了其安全公告。

公司确认针对 PAN-OS 管理接口的“非常有限的利用”现象，但尚未披露威胁行为者的身份、针对的组织数量或类型，或观察到的具体的后期利用活动。SecurityWeek 同样报道说尚未发布有关此活动背后的攻击者信息。

在出版时，审查的主要来源未记录公开可用的 CVE-2026-0322 PoC。但是，现实世界中的攻击中已确认的利用意味着组织应将修复视为紧急的，无论是否有可用的公共利用代码。

Palo Alto Networks 分享了三个与观察到的威胁活动和有限利用尝试相关的 IP 地址：66.42.72[.]14、208.83.239[.]114和149.248.47[.]234。这些指标可以支持回溯调查，尽管安全团队不应将这些地址没有流量视为系统未被定为目标的证明。

为了检测 CVE-2026-0322，防御者应审查管理接口身份验证和访问遥测信息，寻找异常的管理活动、意外的来源地址、异常的登录模式，以及成功认证后不久发生的可疑行动。

由于成功利用会导致 root 级别代码执行，团队还应调查异常的系统进程、意外的配置修改、可疑的出站网络连接、新创建的文件或其他不符合日常防火墙管理的活动。

CVE-2026-0322 缓解措施

Palo Alto Networks 建议尽快将受影响的 PAN-OS 安装升级到相应的修复版本。目前还没有已知的完整绕过漏洞的替代方法。

供应商列出了以下修补版阈值：

• PAN-OS 12.2： 12.2.4 或更高； PAN-OS 12.1： 适用修复版本包括 12.1.4-h12、12.1.7-h8 和 12.1.10-h2； PAN-OS 11.2： 适用的修复包括 11.2.4-h22、11.2.7-h21、11.2.10-h15、11.2.13-h3 和 11.2.16； PAN-OS 11.1： 修复包括 11.1.4-h37、11.1.6-h39、11.1.7-h11、11.1.10-h35、11.1.13-h15 和 11.1.16-h3； PAN-OS 10.2： 修复包括 10.2.7-h38、10.2.10-h41、10.2.13-h26、10.2.16-h11 和 10.2.18-h12。运行不支持的版本的管理员应迁移到支持的修复版本。

作为一种立即减少风险的措施，组织应确保 PAN-OS 管理接口不会广泛暴露于互联网。Palo Alto Networks 建议将访问限制在受信任的内部 IP 地址，且在可能的情况下，仅允许从专用跳板箱进行管理连接。

订阅有威胁防御功能的客户可以通过THREAT IDs 510046 和 510047 获得有限的保护，从 9159-10287 的应用程序和威胁内容版本开始。然而，这种保护有额外要求，包括通过数据平面接口路由管理流量、解密入站管理流量及启用威胁防护检查。供应商明确表示这仅是有限覆盖，并不是对升级的替代。

为了检测 CVE-2026-0322 利用，安全团队应将成功的管理接口身份验证与异常命令执行、管理更改或系统行为进行关联。特别关注从意外的外部地址或通常不包括直接防火墙管理的帐户发起的管理会话。

已发布的 CVE-2026-0322 IOC 包括 66.42.72[.]14、208.83.239[.]114 和 149.248.47[.]234。组织应在历史网络和管理日志中搜索这些地址的交互，同时寻找更广泛的妥协行为证据。

由于漏洞需要经过身份验证的访问，管理员还应审查特权 PAN-OS 帐户是否有凭证泄露的迹象，删除不必要的管理用户，强制执行强身份验证实践，并限制管理会话的来源。

如果识别出可疑利用，应调查受影响的设备的未经授权的配置更改及异常的进程或连接。与设备相关联的管理凭证应视为可能暴露，并在适当时在遏制后进行更换。

SOC Prime 的 AI 原生检测信息平台使安全团队能够加速检测工程和围绕活动利用漏洞的威胁狩猎，同时调整检测逻辑以适应其安全堆栈和可用遥测。