Стежити Palo Alto Networks випустила оновлення безпеки, що усуває CVE-2026-0322, вразливість віддаленого виконання коду з високим ступенем серйозності, яка впливає на інтерфейс управління PAN-OS. Дана вразливість має оцінку CVSS 4.0 – 8.6 і дозволяє аутентифікованому зловмиснику з доступом до мережі виконувати довільний код з правами root на вразливому апараті/системі.
Palo Alto Networks розкрила інформацію про проблему 14 жовтня 2026 року, підтверджуючи, що вже спостерігалися дуже обмежені експлуатації інтерфейсів управління PAN-OS. Вразливість впливає на фаєрволи PA-Series та VM-Series, а також на віртуальні та M-Series пристрої Panorama. Cloud NGFW та Prisma Access не зазнають впливу.
Вразливість є особливо значною, оскільки інтерфейси управління фаєрволами надають привілейований контроль над пристроями, розміщеними на критичних межах мережі. Компрометація такого рівня може надати зловмисникам значний контроль над конфігурацією фаєрвола та операціями безпеки і створити можливості для подальших дій проти захищених середовищ.
CISA також додала цю вразливість до свого каталогу Великих Вразливостей, що Експлуатуються, вимагаючи від відповідних цивільних агентств США виправити її до 17 жовтня 2026 року.
Організації можуть посилити оборону проти розвитку експлуатації вразливостей за допомогою AI-Native Detection Intelligence Platform від SOC Prime, яка допомагає командам безпеки оперативно застосовувати інформацію про загрози, прискорювати пошук загроз і застосовувати відповідний контент виявлення в середовищах SIEM, EDR, XDR і Data Lake.
Фахівці з безпеки також можуть використовувати Prime Architect для дослідження нових загроз, генерації та вдосконалення логіки виявлення, конвертації індикаторів у запити для полювання і адаптації визначень до телеметрії організації.
Зв’язатися з відділом продажів
Аналіз CVE-2026-0322
CVE-2026-0322 впливає на інтерфейс управління PAN-OS і класифікується як вразливість ін’єкції коду згідно CWE-94, Некоректний контроль генерації коду. Зловмисник, що вже має дійсні облікові дані та може досягти інтерфейсу управління, може експлуатувати слабкість для виконання довільного коду з правами root на ураженому пристрої.
На відміну від вразливостей, що дозволяють неаутентифіковану компрометацію безпосередньо з Інтернету, ця вразливість вимагає високих привілеїв. Однак ця вимога не усуває ризик. Адміністративні облікові дані можуть бути отримані через фішинг, крадіжку облікових даних, повторне використання зламаних паролів або на попередніх етапах вторгнення. Як тільки ці облікові дані доступні, успішне використання може перетворити доступ управління в повний контроль на рівні операційної системи фаєрвола.
Palo Alto Networks стверджує, що для того, щоб вразлива версія була уражена, не потрібно спеціальної конфігурації продукту. Вразливість найбільша, коли інтерфейс управління PAN-OS може бути досягнутий із зовнішніх IP-адрес, особливо з Інтернету. Постачальник рекомендує обмежити доступ управління до довірених внутрішніх адрес і, за можливості, дозволяти доступ лише через певну точку доступу.
Асоціативний діапазон продуктів включає PAN-OS 10.2, 11.1, 11.2, 12.1 і 12.2 для підтримуваних фаєрволів PA-Series та VM-Series, а також пристроїв Panorama. Точний вразливий збір в залежності від гілки релізу. Palo Alto Networks підтверджує, що Cloud NGFW і Prisma Access не зазнають впливу.
Дане питання має оцінку CVSS 4.0 – 8.6 з низькою складністю атаки, без вимог до атаки, без взаємодії з користувачем та високим впливом на конфіденційність, цілісність і доступність. Його вимога до привілеїв оцінюється як висока, оскільки для експлуатації потрібно мати обліковий запис аутентифікованого користувача управління.
Успішна експлуатація виконує код зловмисника з правами root. Такий рівень доступу є особливо небезпечним для фаєрвола або централізованого пристрою управління Panorama, оскільки root-прав привілей може потенційно дозволити зловмисникам втручатися в конфігурації, переглядати локальні дані, встановлювати стійкість, модифікувати контролі безпеки або використовувати скомпрометовану систему як частину більш широкого вторгнення.
Palo Alto Networks виявила вразливість внутрішньо і заслуговує визнання старшого провідного дослідника безпеки продукту Сурая Сіддхуруда за виявлення і звітування про недолік. Постачальник опублікував своє сповіщення про безпеку 14 жовтня 2026 року.
Компанія підтвердила “дуже обмежене використання”, спрямоване на інтерфейси управління PAN-OS, але не розкрила ідентичність загрозливих акторів, кількість або тип організацій, що зазнали впливу, чи конкретних постексплуатаційних дій, що спостерігалися. SecurityWeek подібним чином повідомляє, що поки не було опубліковано жодної інформації про зловмисників кампанії.
На момент публікації основні джерела, що були переглянуті, не документують будь-якого загальнодоступного PoC для CVE-2026-0322. Однак підтверджена експлуатація в реальних атаках означає, що організації повинні ставитися до ліквідації як до термінової необхідності незалежно від того, чи доступний публічний код експлуатації.
Palo Alto Networks поділилася трьома IP-адресами, пов’язаними із спостережуваною загрозливою активністю та обмеженими спробами експлуатації: 66.42.72[.]14, 208.83.239[.]114 та 149.248.47[.]234. Ці індикатори можуть підтримувати ретроспективні розслідування, хоча команди безпеки не повинні вважати відсутність трафіку з цих адрес доказом того, що система не зазнала цільового впливу.
Для виявлення CVE-2026-0322 захисники повинні перевірити телеметрію аутентифікації та доступу на інтерфейсі керування на наявність аномальної адміністративної активності, несподіваних джерел адрес, незвичайних шаблонів входу та підозрілих дій, що відбуваються відразу після успішної аутентифікації.
Оскільки успішна експлуатація призводить до виконання коду на рівні root, командам слід також розслідувати аномальні системні процеси, несподівані зміни конфігурації, підозрілі вихідні мережеві з’єднання, новостворені файли або іншу активність, невластиву рутинному адмініструванню фаєрвола.
Пом’якшення CVE-2026-0322
Palo Alto Networks рекомендує оновити уражені установки PAN-OS до відповідної виправленої версії якнайшвидше. Повного обхідного шляху для вразливості не відомо.
Постачальник перераховує наступні виправлені пороги версій:
- PAN-OS 12.2: 12.2.4 або пізніше; PAN-OS 12.1: застосовні виправлені збірки включають 12.1.4-h12, 12.1.7-h8 та 12.1.10-h2; PAN-OS 11.2: застосовні виправлення включають 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 та 11.2.16; PAN-OS 11.1: виправлення включають 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 та 11.1.16-h3; PAN-OS 10.2: виправлення включають 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 та 10.2.18-h12. Адміністратори, які використовують непідтримувані випуски, повинні перейти на підтримувану виправлену версію.
Як тимчасовий захід зниження ризику, організації мають гарантувати, що інтерфейси управління PAN-OS не оголошені широко в Інтернеті. Palo Alto Networks рекомендує обмежити доступ до довірених внутрішніх IP-адрес і, за можливості, дозволяти доступ управління лише з виділеної точки доступу.
Користувачі з підпискою на Захист від Загроз можуть отримати обмежений захист, використовуючи ідентифікатори загроз 510046 та 510047, починаючи з версії вміста Програм і Загроз 9159-10287. Однак цей захист має додаткові вимоги, включаючи маршрутизацію трафіку управління через інтерфейс плоскості даних, розшифровку вхідного трафіку управління та увімкнення перевірки Захисту від Загроз. Постачальник явно описує це як обмежене покриття, а не як заміну оновленню.
Для виявлення експлуатації CVE-2026-0322 команди безпеки повинні корелювати успішну аутентифікацію на інтерфейсі управління з незвичайним виконанням команд, адміністративними змінами чи поведінкою системи. Слід звертати особливу увагу на сеанси управління, що походять від несподіваних зовнішніх адрес або облікових записів, звичайні операційні шаблони яких не включають пряме адміністрування фаєрвола.
Опубліковані ІОК CVE-2026-0322 включають 66.42.72[.]14, 208.83.239[.]114 та 149.248.47[.]234. Організації повинні шукати історичні мережеві та журнали управління для взаємодій, що включають ці адреси, а також шукати ширші поведінкові докази компромісу.
Оскільки для експлуатації вразливості потрібен аутентифікований доступ, адміністратори також повинні перевірити привілейовані акаунти PAN-OS на наявність ознак компрометації облікових даних, видалити непотрібних адміністративних користувачів, застосувати сильні практики аутентифікації та обмежити де можуть починатися адміністративні сесії.
Якщо ідентифіковано підозрілу експлуатацію, уражені пристрої слід перевірити на наявність неавторизованих змін конфігурації та аномальних процесів або з’єднань. Адміністративні облікові дані, пов’язані з пристроєм, слід вважати потенційно підданими експозиції і змінити післяутилізаційні заходи, де це доречно.
Платформа AI-Native Detection Intelligence від SOC Prime дозволяє командам безпеки прискорити інженерію виявлення та пошук загроз навколо активно експлуатованих вразливостей, адаптуючи логіку виявлення до свого стека безпеки та доступної телеметрії.
FAQ
Що таке CVE-2026-0322 і як це працює?
CVE-2026-0322 є вразливістю ін’єкції коду з високою серйозністю, що впливає на інтерфейс управління PAN-OS. Зловмисник з дійсними обліковими даними та мережевим доступом до інтерфейсу управління може експлуатувати цю вразливість для виконання довільного коду з правами root на ураженому фаєрволі PA-Series або VM-Series або пристрої Panorama.
Коли CVE-2026-0322 була вперше виявлена?
Palo Alto Networks виявила цю вразливість внутрішньо і визнала заслуги Сурая Сіддхуруда за її звітування. Компанія офіційно розкрила питання 14 жовтня 2026 року. Точна дата початкового внутрішнього виявлення не була опублікована.
Який вплив CVE-2026-0322 на системи?
Успішна експлуатація надає аутентифікованому зловмиснику можливість виконання довільного коду з правами root на ураженому пристрої PAN-OS. На фаєрволі чи пристрої управління Panorama це може призвести до повного компрометації пристрою і потенційно забезпечити несанкціоновані зміни конфігурації, стійкість, доступ до інформації або подальші дії проти підключеної інфраструктури.
Чи може CVE-2026-0322 досі впливати на мене у 2026 році?
Так. Уразливі фаєрволи PA-Series та VM-Series та пристрої Panorama, які не були оновлені до виправленої версії PAN-OS, залишаються під загрозою. Загроза є негайною, оскільки Palo Alto Networks підтвердила експлуатацію в реальному світі, а CISA додала вразливість до свого каталогу Великих Вразливостей, що Експлуатуються.
Як я можу захистити себе від CVE-2026-0322?
Негайно оновіть уражені установки PAN-OS до відповідної виправленої версії, обмежте доступ до інтерфейсу управління до довірених внутрішніх систем або виділеної точки доступу, досліджуйте привілейовану адміністративну активність для ознак компрометації. Організації також повинні регулярно переглядати рекомендації Palo Alto Networks для оновлених деталей для CVE-2026-0322 та додаткової інформації про спостережувані атаки.
