Palo Alto Networks corrige kwetsbaarheid PAN-OS RCE die in aanvallen wordt uitgebuit

Palo Alto Networks heeft beveiligingsupdates vrijgegeven voor een hoge-ernst PAN-OS RCE-zero-day, getrackt als CVE-2026-0322, die is uitgebuit in aanvallen op firewalls. De kwetsbaarheid raakt het PAN-OS-beheersinterface en laat geverifieerde aanvallers met netwerktoegang code uitvoeren als root op kwetsbare apparaten. Het bedrijf bevestigde in een beveiligingsadvisory dat het beperkte uitbuiting van de fout in aanvallen heeft waargenomen. "Zeer beperkte uitbuiting is waargenomen die het Palo Alto Networks-beheersinterface raakt", aldus het bedrijf. De kwetsbaarheid heeft een zwaartegraad van 8.6 en beïnvloedt PA-Series- en VM-Series-firewalls, evenals Panorama virtueel en M-Series-apparaten. Palo Alto zegt dat Cloud NGFW en Prisma Access niet worden beïnvloed. Aanvallers moeten bestaande referenties en netwerktoegang tot het PAN-OS-beheersinterface hebben om de kwetsbaarheid te exploiteren. Daarom raadt Palo Alto Networks aan om toegang tot het beheersinterface te beperken tot vertrouwde interne IP-adressen alleen.

Het bedrijf heeft fixes vrijgegeven voor betrokken PAN-OS 10.2, 11.1, 11.2, 12.1 en 12.2 versies, met een fix voor PAN-OS 11.2.16 die op 15 oktober wordt verwacht. Klanten die oudere, niet-ondersteunde versies draaien, moeten upgraden naar een ondersteunde release. Palo Alto zegt dat er geen bekende werkarrounds zijn voor de kwetsbaarheid, maar klanten met Threat Prevention-abonnementen kunnen signatures activeren die beperkte bescherming bieden tegen bekende aanvals patronen. "Beperkte dekking in Threat Prevention betekent dat hoewel bekende aanvals patronen kunnen worden geïdentificeerd met de huidige Threat ID, variaties kunnen bestaan die momenteel niet kunnen worden gedetecteerd", waarschuwt Palo Alto. "Als deze CVE en Vereiste Configuratie voor Blootstelling uw omgeving beïnvloeden, raden wij aan te upgraden naar een onbetrokken versie." De kwetsbaarheid is intern ontdekt door Suraj Siddharudh, een senior principal product security researcher bij Palo Alto Networks. Het bedrijf deelde ook drie IP-adressen die de fout exploiteren: 66.42.72[.]14, 208.83.239[.]114 en 149.248.47[.]234. BleepingComputer nam contact op met Palo Alto Networks om te leren wanneer exploitatie begon, wie achter de aanvallen staat en of aanvallers firewalls hebben ingenomen of deze gebruikten om toegang te krijgen tot interne netwerken.