Vulnerabilità PAN-OS sfruttata per l'esecuzione di codice con privilegi root
La vulnerabilità PAN-OS identificata come CVE-2026-0322 viene sfruttata attivamente, spingendo alla pubblicazione di aggiornamenti di sicurezza per i firewall e i sistemi Panorama interessati. Palo Alto Networks classifica la falla come di gravità elevata, con un punteggio Common Vulnerability Scoring System (CVSS) di 8,6, e afferma che lo sfruttamento può consentire a un aggressore autenticato di ottenere il controllo del dispositivo a livello root.
CVE-2026-0322 è una vulnerabilità di remote code execution (RCE) nella management interface di PAN-OS, il sistema amministrativo utilizzato per configurare e controllare il prodotto. Un aggressore deve disporre di un'autenticazione valida e dell'accesso di rete a tale interfaccia. Se queste condizioni sono soddisfatte, la falla consente di eseguire codice arbitrario con root privileges, ossia il massimo livello di controllo sul sistema sottostante. Il fornitore afferma che per lo sfruttamento non è necessaria alcuna configurazione speciale del prodotto.
La vulnerabilità interessa PAN-OS sui firewall PA-Series e VM-Series. Interessa anche le installazioni Panorama eseguite come sistemi virtuali o su appliance M-Series. Cloud NGFW e Prisma Access non sono interessati. Palo Alto Networks ha dichiarato di aver osservato uno «sfruttamento molto limitato» diretto contro la management interface, ma non ha reso noto che cosa abbiano fatto gli aggressori, quando sia iniziata l'attività o chi ne sia responsabile.
Il fornitore ha associato ai tentativi di sfruttamento tre indirizzi IP geolocalizzati negli Stati Uniti: 66.42.72[.]14, 208.83.239[.]114 e 149.248.47[.]234. Questi dettagli possono aiutare i team di sicurezza a esaminare i record di rete pertinenti insieme ad altre prove di accessi sospetti. La vulnerabilità è stata scoperta e segnalata da un senior principal product security researcher di Palo Alto Networks.
Sono disponibili release PAN-OS corrette per diversi rami supportati. Per PAN-OS 12.2, la versione corretta è la 12.2.4 o successiva. Le correzioni per PAN-OS 12.1 sono 12.1.4-h12, 12.1.7-h8, 12.1.10-h2 o versioni successive nelle rispettive linee di release. Gli amministratori devono scegliere l'aggiornamento corrispondente al ramo già installato, anziché considerare l'elenco come un unico percorso di upgrade.
Per PAN-OS 11.2, le build corrette elencate sono 11.2.4-h22, 11.2.7-h21, 11.2.10-h15 e 11.2.13-h3 o successive. È elencata anche PAN-OS 11.2.16, la cui disponibilità è prevista per il 15 ottobre 2026. Le correzioni per PAN-OS 11.1 sono 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 e 11.1.16-h3 o versioni successive in ciascuna linea corrispondente.
Gli utenti di PAN-OS 10.2 devono passare a 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 o 10.2.18-h12 o versioni successive, a seconda della linea di release attualmente utilizzata. Poiché lo sfruttamento è già stato osservato, le organizzazioni che eseguono una versione interessata devono considerare prioritaria l'installazione dell'aggiornamento di sicurezza pertinente. I gestori di siti web i cui servizi dipendono da reti protette o amministrate tramite questi sistemi devono verificare con il proprio team IT interno o con il provider di hosting che i sistemi di gestione interessati siano stati individuati e aggiornati.
Palo Alto Networks raccomanda inoltre di limitare l'accesso alla management interface agli indirizzi IP interni attendibili. La mitigazione più restrittiva consiste nel consentire l'accesso amministrativo esclusivamente tramite un jump box, un computer intermediario designato per raggiungere sistemi amministrativi sensibili. Questa misura non sostituisce l'aggiornamento di sicurezza, ma riduce il numero di sistemi che possono connettersi all'interfaccia vulnerabile.
Un'altra vulnerabilità sfruttata attivamente interessa Cisco Secure Email Gateway. CVE-2026-76519 ha un punteggio CVSS di 9,8 e può essere sfruttata da remoto senza autenticazione quando è abilitato il servizio di file reputation. Cisco attribuisce il problema alla gestione errata degli allegati email. Un aggressore può inviare un allegato appositamente predisposto attraverso un dispositivo interessato, riuscendo potenzialmente a scrivere file arbitrari e a eseguire comandi con root privileges sul relativo sistema operativo.
La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto sia CVE-2026-0322 sia CVE-2026-76519 al proprio Known Exploited Vulnerabilities (KEV) catalog. Le agenzie federali civili del ramo esecutivo devono dare priorità alle correzioni entro il 17 ottobre 2026. L'inclusione nel catalogo conferma che lo sfruttamento è stato osservato e rende particolarmente importante intervenire rapidamente per le organizzazioni che utilizzano uno dei prodotti interessati.
Per le aziende che necessitano di assistenza nella valutazione dell'amministrazione dei firewall all'interno del proprio ambiente tecnologico più ampio, AEU-I offre servizi IT, infrastrutturali e di consulenza incentrati innanzitutto sulla sicurezza. Indipendentemente da chi gestisce il dispositivo, le priorità immediate sono individuare le installazioni PAN-OS interessate, applicare la release corretta appropriata e limitare l'accesso amministrativo ai sistemi attendibili.