Уязвимость CVE-2026-0322 в интерфейсе управления PAN-OS позволяет пользователю, прошедшему проверку подлинности, выполнить произвольный код с правами root (суперпользователя) на межсетевом экране. Для атаки нужен сетевой доступ к интерфейсу и учётная запись с высокими привилегиями. Затронуты межсетевые экраны PA-Series и VM-Series, а также серверы управления Panorama в виртуальном исполнении и на платформе M-Series. Облачный Cloud NGFW и Prisma Access уязвимости не подвержены, поэтому их владельцам обновление не требуется.
CVE-2026-0322 в PAN-OS и первые атаки на интерфейс управления
Уязвимость нашли внутренние исследователи Palo Alto Networks: публикация появилась 14 октября 2026 года, на следующий день её обновили. Рейтинг по шкале CVSS 4.0 равен 8.6, это высокий уровень, а не критический. Срочность вендор оценивает как наивысшую. В компании говорят об очень ограниченной эксплуатации, однако попытки атак на интерфейс управления уже зафиксированы. Следы вредоносной активности связывают с адресами 66[.]42[.]72[.]14, 208[.]83[.]239[.]114 и 149[.]248[.]47[.]234. Автоматизированной такую атаку назвать нельзя: без действующих учётных данных она не срабатывает.
Причина проблемы - внедрение кода (CWE-94). Интерфейс управления строит исполняемые инструкции из данных, которые приходят извне, и не отделяет ввод от логики. В результате администратор с высокими правами выходит за пределы веб-интерфейса, и команды исполняются в операционной системе с максимальными полномочиями. Речь идёт об учётных записях с широкими полномочиями, а не о любом заведённом пользователе. Последствия затрагивают конфиденциальность, целостность и доступность устройства целиком. Злоумышленник может прочитать конфигурацию, изменить правила фильтрации трафика, установить вредоносное ПО или нарушить работу межсетевого экрана. Взаимодействие с пользователем не требуется, сложность атаки низкая, особая настройка для попадания под уязвимость тоже не нужна. Смежные системы при этом не страдают: показатели последующего ущерба в рейтинге нулевые.
Под уязвимость попадает почти весь поддерживаемый парк. Исправления получили ветви 10.2, 11.1, 11.2, 12.1 и 12.2. В ветви 10.2 закрыты сборки 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 и 10.2.18-h12; в ветви 11.1 - 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 и 11.1.16-h3. Неподдерживаемые выпуски остаются без патчей, и вендор советует перейти на актуальную ветвь целиком. Panorama интересна атакующим отдельно: через неё управляют парком межсетевых экранов, поэтому компрометация сервера управления расширяет область поражения.
Риск резко растёт, если порт управления доступен из интернета. При атаке из внешней сети рейтинг держится на 8.6, при доступе из смежного сегмента снижается до 8.5. Вендор рекомендует разрешать подключение только с доверенных внутренних адресов. Другой вариант - выделенный промежуточный сервер (jump box), который единственный обращается к интерфейсу управления. Обе меры не устраняют уязвимость, зато сокращают число точек входа.
Обновиться нужно до 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 или 10.2.18-h12, выбор зависит от используемой ветви. Готовых обходных путей нет. Подписчикам Threat Prevention доступно частичное прикрытие: идентификаторы угроз 510046 и 510047 из версии контента 9159-10287 и новее. Такая защита требует расшифровки входящего SSL-трафика, замены сертификата для входящего управления и маршрутизации трафика к порту управления через порт обработки данных. Частичное прикрытие означает, что известные шаблоны атак распознаются, а их вариации могут пройти незамеченными. Восстановление после успешного взлома ложится на владельца устройства: трудозатраты вендор оценивает как умеренные. Проверить тогда нужно учётные записи администраторов, правила фильтрации и журналы обращений к интерфейсу управления.
Высокие привилегии сужают круг потенциальных атакующих, но упрощают задачу тому, у кого доступ уже есть. Учётная запись администратора - обычная цель при боковом перемещении (lateral movement) внутри сети. Поэтому сегментация интерфейса управления значит не меньше, чем своевременная установка обновления.
Ссылки
