Palo Alto закрыла семь уязвимостей в PAN-OS, включая RCE в Panorama

Palo Alto Networks 11 ноября выпустила исправления для семи уязвимостей в PAN-OS и Prisma Access. Ошибки позволяют удалённо выполнить код в Panorama с правами root, обойти аутентификацию GlobalProtect, повысить привилегии, вызвать отказ в обслуживании и получить сведения о межсетевом экране и его сессиях. Для части атак учётная запись не нужна, но интерфейс управления или VPN-шлюз должны быть доступны атакующему по сети.

Семь уведомлений одного выпуска

Все семь записей Palo Alto опубликовала 11 ноября с пометкой Suggested Urgency: MODERATE. Оценки по CVSS 4.0 невысокие: от 1,3 до 6,6. Производитель не сообщает о случаях эксплуатации этих уязвимостей.

Удалённое выполнение кода в Panorama

CVE-2026-0330 закрывает удалённое выполнение кода с правами root. Ошибка в PAN-OS на Panorama позволяет администратору с доступом к интерфейсу управления выполнить произвольный код. Особых условий настройки нет, но риск выше, если интерфейс управления открыт из интернета. Ошибка относится к CWE-94, оценка CVSS 4.0 - 6,1. Cloud NGFW, Prisma Access и отдельные межсетевые экраны PAN-OS этой уязвимостью не затронуты.

Раскрытие сведений о сессиях

CVE-2026-0331 позволяет неаутентифицированному атакующему с сетевым доступом получить сведения о межсетевом экране и его сессиях. Данные уходят при отправке трафика в интерфейс обработки данных или через него. Panorama не затронута. У Cloud NGFW производитель оценивает риск как низкий, у Prisma Access - как средний. Наибольшая опасность у платформ PA-Series и VM-Series. Оценка CVSS 4.0 - 6,6, CWE-200.

Отказ в обслуживании через переполнение буфера

CVE-2026-0329 - переполнение буфера в интерфейсе обработки данных. Неаутентифицированный атакующий с сетевым доступом отправляет специально сформированный трафик и вызывает отказ в обслуживании. Уязвимость срабатывает при включённом DNS-прокси либо при активном IKE-шлюзе с сертификатом и проверкой отзыва по CRL или OCSP. Cloud NGFW и Panorama не затронуты. Оценка CVSS 4.0 - 4,6, CWE-787.

Обход аутентификации GlobalProtect

CVE-2026-0328 - обход аутентификации в портале и шлюзе GlobalProtect. Пользователь без учётной записи обходит ограничения и устанавливает несанкционированное VPN-подключение. Ошибка проявляется, только если включена поддержка сторонних VPN-клиентов. Официальный клиент GlobalProtect и агент Prisma Access под неё не подпадают. Panorama, Cloud NGFW и Prisma Access не затронуты. Оценка CVSS 4.0 - 2,7, CWE-287, обходных мер нет.

Обход ограничений по IP и повышение привилегий

CVE-2026-0325 - обход авторизации в шлюзе GlobalProtect. Пользователь с действующими учётными данными GlobalProtect обходит ограничения по IP-адресу источника и обходит сетевые правила, которые опираются на фильтрацию по IP. Cloud NGFW не затронут. Оценка CVSS 4.0 - 1,3, CWE-940.

CVE-2026-0327 - повышение привилегий в шлюзе GlobalProtect. Пользователь с низкими правами получает права и конфигурацию более привилегированного пользователя. Ошибка срабатывает, когда профиль аутентификации использует RADIUS и выдаёт поддерживаемый challenge. Cloud NGFW и Panorama не затронуты. Оценка CVSS 4.0 - 2,3, CWE-426.

Переполнение буфера в обработке протоколов

CVE-2026-0326 - переполнение буфера в обработке протоколов и сервисов. Неаутентифицированный атакующий вызывает падение процесса службы или повреждение памяти. Условия: включён SCTP, настроен и включён объект DNS-прокси или на IPv6-интерфейсе работает OSPFv3 с аутентификацией ESP-NULL. Panorama и Prisma Access не затронуты. Оценка CVSS 4.0 - 1,7, CWE-787.

Затронутые версии

Уязвимости затрагивают PAN-OS веток 10.2, 11.1, 11.2, 12.1 и 12.2, но набор веток у каждой ошибки свой. Для CVE-2026-0325, CVE-2026-0326 и CVE-2026-0327 производитель указывает 11.1-12.2, для CVE-2026-0328, CVE-2026-0329, CVE-2026-0330 и CVE-2026-0331 в список входит и 10.2. Prisma Access затронут ошибками CVE-2026-0325, CVE-2026-0327, CVE-2026-0329 и CVE-2026-0331. Исправленные сборки: 12.2.4-h2, 12.1.10-h4, 11.2.16-h2, 11.1.16-h5 и 10.2.18-h14. Для ранних подветок есть свои сборки: 12.1.7-h12 и 12.1.4-h14, 11.2.13-h5, 11.2.10-h18, 11.2.7-h24 и 11.2.4-h24, 11.1.13-h17, 11.1.10-h37, 11.1.7-h13, 11.1.6-h41 и 11.1.4-h39, 10.2.16-h13, 10.2.13-h28, 10.2.10-h43 и 10.2.7-h40.

Если обновиться нельзя

Для CVE-2026-0330, CVE-2026-0328 и CVE-2026-0331 обходных мер нет. Palo Alto советует ограничить доступ к интерфейсу управления доверенными внутренними адресами и отдельным узлом перехода, а для RCE в Panorama добавляет ограниченное прикрытие через Threat Prevention - идентификаторы 510045 и 510048, но им нужен SSL-расшифровка трафика. Для CVE-2026-0325 можно ограничить доступ к GlobalProtect политиками защиты от отказа в обслуживании, страновыми ограничениями и блок-листами IP. Для CVE-2026-0327 поможет перевод профиля аутентификации с RADIUS-challenge на SAML или на проверку клиентского сертификата. Для CVE-2026-0329 нужно отключить проверку отзыва по CRL и OCSP у профиля сертификата и выключить DNS-прокси, а также доступны Threat ID 510051 и 510052 с той же оговоркой про SSL-расшифровку. Для CVE-2026-0326 снимают профиль защиты SCTP с активных правил, отключают DNS-прокси и переходят на стандартную криптографическую аутентификацию OSPFv3 вместо ESP-NULL.

Что сделать в первую очередь

Обновите PAN-OS до исправленной сборки своей ветки: 12.2.4-h2, 12.1.10-h4, 11.2.16-h2, 11.1.16-h5 или 10.2.18-h14, для ранних подветок - до перечисленных выше сборок. Если интерфейс управления Panorama или шлюз GlobalProtect открыты из интернета, это обновление стоит поставить вне очереди. Prisma Access обновляется автоматически в ближайшее окно обслуживания, досрочное обновление заказывают через поддержку. После установки проверьте, доступен ли интерфейс управления из интернета, и решите, нужна ли поддержка сторонних VPN-клиентов на портале GlobalProtect.