Palo Alto Networks łata aktywnie wykorzystywaną podatność w PAN-OS, która daje roota na zaporze

Palo Alto Networks wydało poprawki dla CVE-2026-0322 w PAN-OS, wykorzystywanej już w atakach. Uwierzytelniony atakujący z dostępem do interfejsu zarządzania może uruchomić kod jako root. CISA wyznaczyła termin na 17 października.

Palo Alto Networks opublikowało aktualizacje dla podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-0322 w oprogramowaniu PAN-OS. Błąd dotyczy interfejsu zarządzania i pozwala uwierzytelnionemu atakującemu z dostępem sieciowym wykonać kod z uprawnieniami roota na zaporze. Producent potwierdził, że obserwuje ograniczone wykorzystanie tej podatności w atakach. Ma ona ocenę 8,6 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach..

Podatność dotyczy zapór PA-Series i VM-Series oraz urządzeń Panorama, wirtualnych i M-Series. Cloud NGFW i Prisma Access nie są nią objęte. Poprawki wydano dla wersji PAN-OS 10.2, 11.1, 11.2, 12.1 i 12.2, a poprawka dla 11.2.16 była zapowiedziana na 15 października. Kto korzysta ze starszych, niewspieranych wersji, musi przejść na wspierane wydanie.

Jeśli masz takie urządzenia, zleć sprawdzenie, skąd jest dostępny ich interfejs zarządzania. Producent zaleca ograniczyć dostęp do interfejsu zarządzania do zaufanych wewnętrznych adresów IP. Atak wymaga poświadczeń i dostępu sieciowego do tego interfejsu. Znanych obejść nie ma. Subskrypcja Threat Prevention daje tylko ograniczoną ochronę, bo warianty ataku mogą nie być wykrywane.

CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. dodała podatność do katalogu znanych wykorzystywanych podatności i wymaga od federalnych agencji cywilnych w USA zastosowania środków zaradczych do 17 października. Według CISA użycie w kampaniach ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. jest nieznane. BleepingComputer nie ustalił, kiedy ataki się zaczęły, kto za nimi stoi i czy zaporyZapora sieciowa Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników. zostały przejęte. Producent udostępnił trzy adresy IP, z których podatność była wykorzystywana.

Aktualizacja z 16 października 2026

Kanadyjskie Centrum Cyberbezpieczeństwa zaktualizowało 15 października 2026 r. biuletyn AV26-1041, w którym podaje progi wersji PAN-OS objętych podatnościami w produktach Palo Alto Networks. W gałęzi 12.2 chodzi o wydania wcześniejsze niż 12.2.4. W gałęzi 12.1 są to wydania wcześniejsze niż 12.1.4-h12, 12.1.7-h8 i 12.1.10-h2, a w gałęzi 11.2 wcześniejsze niż 11.2.4-h22, 11.2.7-h21, 11.2.10-h15 i 11.2.13-h3. Dla gałęzi 11.1 i 10.2 biuletyn wskazuje tylko „Multiple versions”, bez numerów.

Biuletyn jest zbiorczy: obejmuje też Prisma Browser w wersjach wcześniejszych niż 152.8.5.83 i odsyła do osobnego komunikatu o aktualizacji Chromium. Nie wynika z niego, które pozycje dotyczą akurat CVE-2026-0322, więc progi traktuj jako punkt odniesienia i numer poprawionej wersji potwierdź w komunikacie producenta.

Centrum podaje też, że CISA dodała CVE-2026-0322 do katalogu znanych wykorzystywanych podatności 14 października 2026 r. Poza zaleceniem przejrzenia komunikatów producenta i zastosowania aktualizacji biuletyn nie dodaje nowych środków zaradczych.

Aktualizacja z 17 października 2026

Producent ujawnił adresy IP, z których próbowano wykorzystać podatność w interfejsie zarządzania: 66.42.72[.]14, 208.83.239[.]114 i 149.248.47[.]234. Wszystkie trzy geolokalizują się w Stanach Zjednoczonych. Palo Alto Networks zaleca przejrzeć logi pod kątem tych adresów, ale nie opisało, co atakujący robili po uzyskaniu dostępu, ani nie podało, kiedy próby się zaczęły. Daily Security Review zauważa, że taka lista obejmuje zwykle tylko dotychczas zaobserwowaną infrastrukturę, więc przy braku pewności co do ekspozycji interfejsu logi dostępu warto sprawdzić także za okres sprzed komunikatu.

Producent podał przykładowe poprawione wydania: 12.2.4, 12.1.10-h2, 11.1.16-h3 i 10.2.18-h12. Numery dla gałęzi 11.1 i 10.2 uzupełniają to, czego brakowało w biuletynie kanadyjskim. Klienci z subskrypcją Threat Prevention mogą włączyć sygnatury 510046 i 510047, które dają ograniczoną ochronę. Dla interfejsów zarządzania wystawionych do internetu producent oznaczył pilność jako Red i zaleca dostęp wyłącznie z zaufanego wewnętrznego serwera pośredniczącego (jump box). Według Daily Security Review poprawka usuwa błąd wykonania kodu, ale nie zmienia ekspozycji portu zarządzania otwartego do internetu.

Źródła

• CISA Known Exploited Vulnerabilities: Palo Alto Networks PAN-OS: Palo Alto Networks PAN-OS Code Injection Vulnerability (CVE-2026-0322)
• BleepingComputer: Palo Alto Networks warns of PAN-OS RCE flaw exploited in attacks
• The Hacker News: Palo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation
• Canadian Centre for Cyber Security: Palo Alto Networks security advisory (AV26-1041) - Update 1
• Daily Security Review: Palo Alto Patches PAN-OS RCE Zero-Day CVE-2026-0322 Under Attack - Resources

Pojęcia w tym tekście (5)

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

CVSS

Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.

CISA

Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

Ransomware

Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.

Zapora sieciowa

Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 14 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.