Seguir A Palo Alto Networks lançou atualizações de segurança para uma vulnerabilidade crítica de estouro de buffer que afeta o software PAN-OS. Identificado como CVE-2026-0310, o problema reside na funcionalidade de processamento XML e pode permitir que um invasor remoto não autenticado cause uma condição de negação de serviço em firewalls VM-Series ou execute código arbitrário com privilégios de root em firewalls físicos PA-Series vulneráveis.
A falha não requer nenhuma configuração especial para estar presente. Um invasor só precisa de acesso à rede para a interface web de gerenciamento afetada ou interface do plano de dados, tornando a exposição particularmente preocupante quando as interfaces administrativas podem ser alcançadas por redes não confiáveis. A Palo Alto Networks recomenda restringir o acesso de gerenciamento a endereços internos confiáveis como uma medida fundamental de redução de risco.
A Palo Alto Networks classifica a vulnerabilidade Alta, com uma pontuação CVSS-BT de 7.2 e uma pontuação base CVSS de 9.2 para o cenário de maior risco da PA-Series. O fornecedor atribui sua maior urgência de remediação sugerida, porque a exploração bem-sucedida contra firewalls físicos pode resultar na execução de código arbitrário com privilégios elevados.
The A falha de estouro de buffer do PAN-OS ameaça organizações que rodam software de firewall afetado em múltiplos ramos suportados, embora suas consequências variem dependendo do modelo de implantação. Na divulgação em 9 de setembro de 2026, a Palo Alto Networks afirmou não estar ciente de exploração maliciosa.
Análise do CVE-2026-0310
Do ponto de vista defensivo, Análise do CVE-2026-0310 começa com a compreensão do caminho de processamento XML vulnerável. A Palo Alto Networks classifica a fraqueza subjacente como CWE-787: Escrita Fora dos Limites, um problema de segurança de memória onde uma entrada especialmente criada pode causar que dados sejam escritos além do limite de memória pretendido.
A vulnerabilidade pode ser alcançada através da interface web de gerenciamento ou da interface do plano de dados. Não é necessária autenticação nos cenários PA-Series e VM-Series descritos pelo fornecedor, e nenhuma interação do usuário é necessária. A complexidade do ataque para o cenário PA-Series é classificada como alta, significando que a exploração confiável requer condições adicionais ou manipulação precisa do caminho de processamento vulnerável.
Os detalhes mais importantes para CVE-2026-0310 concernem à diferença entre firewalls de hardware e virtuais.
On Firewalls de hardware PA-Series, a exploração bem-sucedida pode resultar na execução de código arbitrário com privilégios de root. Acesso root daria ao atacante controle extenso sobre o firewall e permitiria potencialmente a manipulação de políticas de segurança, acesso à configuração sensível, persistência, interrupção do tráfego de rede ou uso do aparelho como ponto de entrada para novas intrusões.
On Firewalls VM-Series, a Palo Alto Networks afirma que o impacto é limitado a negação de serviço. O fornecedor classifica este cenário como Médio, com CVSS-BT 6.6 e uma pontuação base de 8.7. A exploração bem-sucedida poderia interromper a disponibilidade do firewall, mas não está documentado como causador de execução de código arbitrário em aparelhos VM-Series.
A Palo Alto Networks também confirma que o Panorama é impactado pela vulnerabilidade. Organizações que usam Panorama para gerenciar centralmente herdades de firewalls devem, portanto, incluir esses sistemas em sua avaliação de versão e exposição em vez de avaliar apenas firewalls individuais.
CVE-2026-0310 afeta ramos suportados PAN-OS 10.2, 11.1, 11.2, 12.1 e 12.2 anteriores aos seus builds fixos respectivos. Implantações de Prisma Access e Cloud NGFW também estão listadas como afetadas, embora a Palo Alto Networks considere o risco de exploração menor nesses ambientes porque a autenticação é requerida e o acesso à rede externa é restrito.
Para PAN-OS 12.2, lançamentos anteriores a 12.2.3 são vulneráveis. Implantações PAN-OS 12.1 requerem um dos builds corrigidos adequados, incluindo 12.1.4-h10, 12.1.7-h5, ou 12.1.10, dependendo do ramo de manutenção.
Correções do PAN-OS 11.2 incluem:
- 11.2.4-h21
- 11.2.7-h20
- 11.2.10-h14
- 11.2.13-h2
A documentação de lançamento da Palo Alto Networks confirma explicitamente que builds como 11.2.7-h20 e 11.2.10-h14 contêm a correção.
Para PAN-OS 11.1, versões de manutenção corrigidas incluem 11.1.4-h36, 11.1.6-h38, 11.1.7-h10, 11.1.10-h33, 11.1.13-h12, e 11.1.16-h2.
Clientes PAN-OS 10.2 têm correções disponíveis em 10.2.7-h37, 10.2.10-h40, 10.2.13-h24, 10.2.16-h10, e 10.2.18-h10, dependendo do ramo de lançamento. Versões mais antigas do PAN-OS não suportadas deveriam ser migradas para uma versão corrigida suportada.
Clientes Prisma Access estão protegidos iniciando com 12.1.7-h5, 11.2.7-h20, ou 10.2.10-h40, dependendo da versão implantada. A Palo Alto Networks planeja atualizar clientes Prisma Access e Cloud NGFW durante ciclos de manutenção agendados e permite que clientes que requerem remediação antecipada organizem uma atualização sob demanda.
Ao contrário de muitas vulnerabilidades cuja exploração depende de um recurso opcional habilitado, a Palo Alto Networks afirma explicitamente que nenhuma configuração especial é necessária para um sistema PAN-OS ser afetado. A exposição depende de um invasor conseguir estabelecer conectividade de rede para a interface de gerenciamento ou do plano de dados vulnerável.
Restringir a interface de gerenciamento a uma jump box dedicada reduz significativamente o risco prático. A Palo Alto Networks calcula uma pontuação CVSS-BT reduzida de 5.2 para este cenário porque o atacante deve primeiro ganhar acesso à rede de gerenciamento confiável antes de alcançar a interface vulnerável.
A vulnerabilidade foi descoberta internamente pelas equipes de pesquisa de segurança da Palo Alto Networks. O fornecedor não divulgou a data exata da descoberta interna, mas o aviso foi publicado em 9 de setembro de 2026.
No momento da divulgação, a Palo Alto Networks classificou a maturidade da exploração como não relatada e afirmou que não tinha conhecimento de exploração maliciosa. Um PoC CVE-2026-0310 apoiado pelo fornecedor não foi publicado, e o aviso não fornece informações detalhadas suficientes em nível de pacote para reproduzir a vulnerabilidade de forma confiável.
Da mesma forma, atualmente não há IOCs específicos para a campanha CVE-2026-0310 porque o fornecedor não observou ataques associados à falha. Defensores devem, portanto, concentrar-se na avaliação de exposição, verificação de versão, acesso à interface de gerenciamento, comportamento anormal de serviço e atividade inesperada de firewall em vez de esperar por endereços IP maliciosos ou hashes de payload.
Mitigação do CVE-2026-0310
A mitigação primária para CVE-2026-0310 é atualizar o PAN-OS para a versão de manutenção corrigida apropriada para o ramo de software da organização. A Palo Alto Networks afirma explicitamente que não existe solução alternativa conhecida, tornando as atualizações de software a única remediação completa suportada pelo fornecedor.
Organizações devem priorizar appliances de hardware PA-Series pois esses sistemas enfrentam o resultado documentado mais severo: execução de código arbitrário não autenticado com privilégios de root.
No mínimo, organizações afetadas devem atualizar para a versão corrigida apropriada:
- PAN-OS 12.2: 12.2.3 ou superior
- PAN-OS 12.1: 12.1.4-h10, 12.1.7-h5, 12.1.10, ou superior conforme apropriado
- PAN-OS 11.2: 11.2.4-h21, 11.2.7-h20, 11.2.10-h14, 11.2.13-h2, ou superior
- PAN-OS 11.1: o ramo de hotfix apropriado corrigido até 11.1.16-h2 ou superior
- PAN-OS 10.2: o ramo de hotfix apropriado corrigido até 10.2.18-h10 ou superior
- PAN-OS não suportado: migrar para uma versão corrigida suportada
A detecção de CVE-2026-0310 deve começar com a identificação de todos os firewalls PAN-OS e appliances Panorama no ambiente, registrando sua versão de software exata e determinando se as interfaces de gerenciamento ou do plano de dados são acessíveis a partir de redes não confiáveis.
As equipes de segurança devem dar atenção especial a dispositivos onde a interface de gerenciamento está amplamente exposta em vez de restrita a endereços administrativos confiáveis.
Para detectar tentativas de exploração do CVE-2026-0310 ou atividade pós-comprometimento suspeita, defensores devem investigar:
- Conexões inesperadas a interfaces de gerenciamento do PAN-OS de fontes não confiáveis
- Tráfego repetido malformado ou incomum alcançando serviços de gerenciamento ou do plano de dados
- Crashes inesperados ou reinicializações afetando appliances VM-Series
- Processos anormais do PAN-OS ou instabilidade de serviço após tráfego suspeito de entrada
- Mudanças não autorizadas de configuração ou política de segurança
- Contas administrativas recém-criadas ou modificadas
- Comandos inesperados ou processos em appliances PA-Series
- Conexões de saída originando-se de um firewall sem uma explicação operacional legítima
- Tentativas de desativar ou modificar logs
- Mudanças inesperadas de roteamento, NAT, VPN ou política de segurança após tráfego de gerenciamento suspeito
Esses comportamentos são pistas de caçada em vez de assinaturas específicas de exploração de vulnerabilidade, porque a Palo Alto Networks não liberou a estrutura XML maliciosa exata necessária para acionar a falha.
O isolamento da interface de gerenciamento deve ser usado como uma medida defensiva adicional mesmo após a implantação de patches. A Palo Alto Networks recomenda restringir o acesso a endereços IP internos confiáveis, idealmente por meio de uma jump box que é o único sistema permitido a conectar-se à interface de gerenciamento do firewall.
Organizações devem impor este modelo de acesso com segmentação de rede, VLANs de gerenciamento, políticas de segurança e controles de acesso administrativo. A exposição à internet pública de uma interface de gerenciamento de firewall deve ser evitada sempre que operacionalmente possível.
Se administradores identificarem atividade suspeita em um firewall PA-Series não corrigido, o incidente deve ser tratado com seriedade porque a exploração bem-sucedida pode proporcionar execução a nível de root. As equipes de segurança devem preservar logs relevantes, revisar o histórico administrativo e de configuração, examinar conexões de saída inesperadas e comparar o estado do dispositivo com uma configuração conhecida como boa.
Credenciais, certificados, chaves de API e outros segredos acessíveis de um firewall comprometido confirmado podem também precisar ser rotacionados. Sistemas de gerenciamento conectados e infraestrutura vizinha devem ser revisados em busca de movimento lateral possível.
Como atualmente não há evidências de exploração ativa, as organizações têm uma oportunidade de remediar antes que a vulnerabilidade seja amplamente armada. No entanto, a ausência de uma campanha conhecida não deve justificar atraso na aplicação de patches dado o potencial impacto de RCE de root em firewalls PA-Series e a falta de uma solução alternativa completa.
FAQ
O que é CVE-2026-0310 e como funciona?
CVE-2026-0310 é uma vulnerabilidade de escrita fora dos limites na funcionalidade de processamento XML do PAN-OS. Um invasor não autenticado com acesso à rede para uma interface de gerenciamento web ou do plano de dados afetada pode enviar uma entrada maliciosa que desencadeia um estouro de buffer. No hardware PA-Series, exploração bem-sucedida pode executar código arbitrário com privilégios de root, enquanto o impacto na VM-Series é limitado a negação de serviço.
Quando o CVE-2026-0310 foi descoberto pela primeira vez?
A Palo Alto Networks diz que a vulnerabilidade foi descoberta internamente por suas equipes de pesquisa de segurança, mas não divulgou a data exata da descoberta. A empresa lançou publicamente o aviso e as atualizações de segurança em 9 de setembro de 2026.
Qual é o impacto do CVE-2026-0310 nos sistemas?
O impacto depende da plataforma. Firewalls de hardware PA-Series vulneráveis podem permitir execução de código arbitrário com privilégios de root, potencialmente levando à completa comprometimento do aparelho. Firewalls VM-Series podem ser forçados a uma condição de negação de serviço. O Panorama também é impactado, enquanto o Prisma Access e Cloud NGFW têm um cenário de ataque autenticado de menor risco.
O CVE-2026-0310 ainda pode me afetar em 2026?
Sim. Sistemas PAN-OS executando versões afetadas permanecem vulneráveis até que a versão corrigida relevante seja instalada. Nenhuma configuração especial é necessária para ser afetado, embora restringir o acesso de gerenciamento a sistemas internos confiáveis reduza significativamente a exposição prática. A Palo Alto Networks não tinha observado exploração maliciosa até 9 de setembro de 2026.
Como posso me proteger do CVE-2026-0310?
Atualize imediatamente para uma versão corrigida do PAN-OS apropriada para seu ramo de software. A Palo Alto Networks afirma que não há solução alternativa completa. Administradores também devem restringir interfaces de gerenciamento a endereços internos confiáveis ou uma jump box dedicada e investigar atividade de gestão incomum, falhas de serviço ou mudanças de configuração em sistemas que foram expostos antes de aplicar o patch.
