Palo Alto закрыла zero-day в PAN-OS: интерфейс управления открывал путь к root (CVE-2026-0322)

14 октября Palo Alto Networks выпустила исправления для CVE-2026-0322 — уязвимости в интерфейсе управления PAN-OS, которую уже используют в атаках. Пользователь с действующей учётной записью и сетевым доступом к веб-консоли файрвола может выполнить код с правами root. Защита одна: обновить PAN-OS и закрыть интерфейс управления от лишних сетей.

Оценка по CVSS — 8.6, а не 9.8, как у недавней дыры в почтовом шлюзе Cisco, о которой мы писали в материале про CVE-2026-76519. Но «высокая, а не критическая» здесь обманчива: после захвата файрвола под контролем атакующего оказываются правила доступа, VPN и весь трафик периметра. Поэтому для команд информационной безопасности это обновление вне очереди.

Ниже — какие ветки PAN-OS уязвимы, до каких версий обновляться, почему требование аутентификации не спасает и что проверить, если файрвол работал на старой сборке.

Что исправила Palo Alto в PAN-OS

Согласно бюллетеню вендора, CVE-2026-0322 — это внедрение кода (CWE-94) в веб-интерфейсе управления PAN-OS. Злоумышленник, у которого есть учётная запись администратора, пусть даже с минимальными правами, и сетевой доступ к порту управления, отправляет подготовленный запрос и получает выполнение произвольного кода в операционной системе устройства с привилегиями root. Особой конфигурации для атаки не нужно: по формулировке Palo Alto, уязвим любой файрвол на затронутой версии.

Уязвимость нашли внутри самой компании. Вендор признаёт «очень ограниченную эксплуатацию» и опубликовал индикаторы компрометации — IP-адреса, с которых шли атаки. Кто стоит за ними, Palo Alto не раскрывает. CISA в тот же день, 14 октября, внесла CVE-2026-0322 в каталог известных эксплуатируемых уязвимостей (KEV) и дала федеральным ведомствам США срок до 17 октября. Вместе с ней Palo Alto выпустила ещё около дюжины бюллетеней по PAN-OS, GlobalProtect и Prisma Cloud.

Какие версии уязвимы и куда обновляться

Под угрозой PAN-OS на аппаратных файрволах PA-Series, виртуальных VM-Series и консоль централизованного управления Panorama. Облачные Cloud NGFW и Prisma Access уязвимости не подвержены. Безопасные версии по данным бюллетеня:

• PAN-OS 12.2 — 12.2.4 и новее;
• PAN-OS 12.1 — 12.1.4-h12, 12.1.7-h8 или 12.1.10-h2 (в зависимости от ветки обслуживания);
• PAN-OS 11.2 — 11.2.16 и новее;
• PAN-OS 11.1 — 11.1.16-h3 и новее;
• PAN-OS 10.2 — 10.2.18-h12 и новее.

Если вы используете более старую или снятую с поддержки ветку, исправления для неё в бюллетене нет — понадобится переход на поддерживаемый релиз.

Почему «нужен логин» — слабое утешение

Требование аутентификации снижает оценку CVSS, но на практике порог невысок. Учётные данные администраторов утекают через фишинг, инфостилеры и повторно используемые пароли, а у многих компаний к консоли файрвола имеют доступ подрядчики и сервисные учётки мониторинга. CVE-2026-0322 превращает любую такую учётку, даже только на чтение, в полный контроль над устройством.

Второй фактор — доступность самого интерфейса. Palo Alto годами рекомендует не выставлять порт управления в интернет и пускать к нему только с доверенных адресов, но такие консоли регулярно находят в открытом доступе. Именно там атакующим проще всего: и учётные данные подобрать, и эксплойт отправить.

Что сделать сегодня

1. Проверьте версию PAN-OS на всех файрволах и в Panorama и сверьте её со списком выше.
2. Обновитесь до исправленной сборки. Обходных мер вендор не предлагает. Сигнатуры Threat Prevention (Threat ID 510046 и 510047) дают лишь частичное покрытие и срабатывают, только если трафик к интерфейсу управления идёт через порты данных с расшифровкой SSL.
3. Сузьте доступ к интерфейсу управления до выделенной сети администрирования или списка доверенных IP. Консоль не должна быть видна из интернета.
4. Проведите ревизию учётных записей. Удалите лишние и забытые учётки администраторов, включите MFA, смените пароли сервисных и подрядных аккаунтов.
5. Поищите следы атаки. Сверьте логи доступа к консоли с опубликованными Palo Alto индикаторами. Если устройство долго работало на уязвимой версии с открытым портом управления, считайте его потенциально скомпрометированным: проверьте конфигурацию и правила, ротируйте ключи VPN и секреты интеграций.

Что это значит для российских компаний

Файрволы Palo Alto продолжают работать в части российских сетей, закупленных до 2022 года, и обновления для них часто запаздывают из-за отсутствия официальной поддержки. Для таких устройств CVE-2026-0322 — повод сделать то, что не зависит от вендора: убрать интерфейс управления из всех сетей, кроме административной, сократить круг администраторов и заложить в план замену на поддерживаемое решение. Решение о допустимом риске принимает служба ИБ, но держать консоль файрвола, доступную снаружи и без патча, после включения уязвимости в KEV — уже не вопрос выбора.

Часто задаваемые вопросы

Можно ли эксплуатировать CVE-2026-0322 без пароля? Нет. Нужны действующие учётные данные и сетевой доступ к интерфейсу управления. Но уровень прав учётки не важен: код выполняется с правами root.

Уязвимы ли Cloud NGFW и Prisma Access? По данным Palo Alto, нет. Затронуты PAN-OS на PA-Series, VM-Series и Panorama.

Есть ли временный обходной путь? Полноценного — нет. Ограничение доступа к интерфейсу управления сильно сужает поверхность атаки, но не заменяет обновление.

Зачем ещё раз проверять устройство после обновления? Патч закрывает уязвимость, но не удаляет то, что атакующий мог оставить на файрволе до обновления. Поэтому нужна сверка конфигурации и логов с индикаторами компрометации.

Источники

• Palo Alto Networks Security Advisory — CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution in Management Interface, 14 октября 2026 (первоисточник).
• SecurityWeek — Palo Alto Networks Patches PAN-OS Zero-Day Exploited for Remote Code Execution, 15 октября 2026.
• Help Net Security — CISA flags exploited flaws in Palo Alto, Cisco and Ahsay products, 15 октября 2026.
• CISA — Known Exploited Vulnerabilities Catalog.