Palo Alto PAN-OS CVE-2026-0322: RCE root su firewall e Panorama con un accesso autenticato al management, già sfruttata e nel KEV della CISA

La CVE-2026-0322, una code injection nell'interfaccia web di management di Palo Alto Networks PAN-OS valutata con CVSS v4.0 pari a 8.6 dal vendor e da ACN, consente a un attaccante autenticato che raggiunge il management via rete di eseguire codice arbitrario con privilegi root (nella scheda NVD il NIST le assegna 7.2 con la versione 3.1 dello standard). Sono affetti i firewall PA-Series e VM-Series e la console Panorama, sia virtuale sia M-Series, senza bisogno di configurazioni particolari; Cloud NGFW e Prisma Access non sono coinvolti. Palo Alto Networks l'ha resa nota il 14 ottobre 2026 confermando uno sfruttamento attivo contro l'interfaccia di management; lo stesso giorno la CISA l'ha inserita nel catalogo KEV e il 15 ottobre ACN ne ha segnalato lo sfruttamento in rete. Il vettore CVSS indica privilegi elevati (PR:H): l'attaccante deve avere già in mano un account con diritti ampi sull'apparato.

La falla è stata individuata internamente dal ricercatore Suraj Siddharudh e l'advisory le assegna il livello di urgenza più alto. Il vendor parla di uno sfruttamento «molto limitato» e ha pubblicato tre indirizzi IP associati ad attività sospette e a tentativi di sfruttamento, senza comunicare quando siano cominciati gli attacchi, chi ci sia dietro né come gli attaccanti abbiano ottenuto l'accesso autenticato. Non risultano un'attribuzione a gruppi noti né prove di concetto pubbliche. Per le agenzie federali civili statunitensi la CISA ha fissato la scadenza al 17 ottobre 2026, tre giorni dopo l'inserimento nel KEV, e in base alla direttiva BOD 26-04 chiede anche un triage forense, cioè di verificare la compromissione oltre ad applicare la patch: un'indicazione di priorità che vale per chiunque abbia questi apparati. Le versioni correttive coprono tutti i rami supportati, dalla 10.2 alla 12.2; l'ultima a uscire, la sera del 15 ottobre, è stata la 11.2.16, unica correzione per chi si trova sulla 11.2.14 o sulla 11.2.15.

Il requisito dell'autenticazione restringe il campo meno di quanto sembri. Yih Khai Wong, analista di IDC sentito da CSO Online, indica come possibili vie d'accesso credenziali amministrative rubate con il phishing o riutilizzate, interfacce di management esposte su internet o una compromissione precedente, e colloca il varco più nella scarsa igiene degli accessi al management che nel difetto in sé; lo stesso vendor, quando l'interfaccia è raggiungibile solo da un jump box, abbassa il punteggio appena a 8.5. Con Panorama fra i prodotti affetti, un account amministrativo compromesso sulla console centrale può tradursi in root sul sistema che governa l'intera flotta di firewall.

È la terza vulnerabilità PAN-OS entrata nel catalogo KEV nel 2026, dopo la CVE-2026-0300 del Captive Portal, di cui avevamo scritto in un nostro precedente alert del 6 maggio, e la CVE-2026-0257 di GlobalProtect. Con la prima bastava raggiungere il Captive Portal, senza credenziali, e gli attacchi erano attribuiti a un cluster probabilmente sponsorizzato da uno Stato; questa volta serve un accesso autenticato, ma nel mirino c'è di nuovo il firewall di perimetro. A doversene preoccupare è chi gestisce firewall PA-Series o VM-Series o una console Panorama con PAN-OS non aggiornato, apparati diffusi sul perimetro di pubbliche amministrazioni, sanità e grandi aziende: il rischio è massimo dove l'interfaccia di management è raggiungibile da internet o da reti non fidate e dove gli account amministrativi sono condivisi, usati anche altrove o protetti dalla sola password.

• Versioni affette: PAN-OS 12.2 precedenti alla 12.2.4; 12.1 dalla 12.1.2, 11.2, 11.1 e 10.2 precedenti all'hotfix indicato dal vendor per ciascuna linea di release (correzioni di riferimento 12.1.10-h2, 11.2.16, 11.1.16-h3 e 10.2.18-h12); tutte le versioni fuori supporto. Vale per i firewall PA-Series e VM-Series e per Panorama, virtuale e M-Series; non sono affetti Cloud NGFW e Prisma Access.
• Azione raccomandata: aggiornare firewall e Panorama alla versione correttiva della propria linea (12.2.4; 12.1.4-h12, 12.1.7-h8 o 12.1.10-h2; 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 o 11.2.16; 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 o 11.1.16-h3; 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 o 10.2.18-h12) e migrare le versioni fuori supporto; limitare l'accesso all'interfaccia di management a un jump box dedicato o a indirizzi interni fidati, come raccomanda il vendor, che non indica workaround; chi non può aggiornare subito e dispone di Threat Prevention può attivare i Threat ID 510046 e 510047 (contenuti 9159-10287 o successivi), con copertura parziale e solo se il traffico di management passa da una porta dati con decrittazione SSL; cercare nei log di accesso al management, anche a ritroso, i tre indirizzi pubblicati dal vendor (66.42.72.14, 208.83.239.114, 149.248.47.234), associati a tentativi di sfruttamento; rivedere la cronologia dei login amministrativi e le modifiche di configurazione inattese su Panorama e su ogni firewall gestito, preservando le prove prima di intervenire, come suggeriscono gli analisti sentiti da CSO Online; in caso di sospetto ruotare le credenziali amministrative, e proteggere comunque gli account di amministrazione con l'autenticazione a più fattori.

Fonti: ACN, Palo Alto Networks, CISA, NVD, CSO Online