Palo Alto PAN-OS : une faille de l’interface d’administration donne le root sur les pare-feu, déjà exploitée

Palo Alto Networks a corrigé CVE-2026-0322, une faille de l’interface d’administration de PAN-OS qui permet à un administrateur authentifié d’exécuter du code en root sur les pare-feu PA-Series et VM-Series et sur Panorama. L’éditeur a constaté une exploitation limitée ; la CISA laisse aux agences fédérales jusqu’au 17 octobre.

Ce qui s’est passé

Le 14 octobre 2026, Palo Alto Networks a publié un bulletin consacré à CVE-2026-0322 (CVSS 4.0 : 8,6), une injection de code dans l’interface web d’administration de PAN-OS. Un attaquant qui atteint cette interface et dispose d’un compte à privilèges élevés peut exécuter le code de son choix avec les droits root sur l’équipement. L’éditeur fait état d’une exploitation très limitée et publie trois adresses IP associées aux attaques. La CISA a inscrit la faille à son catalogue des vulnérabilités exploitées le jour même, avec une échéance au 17 octobre pour les agences fédérales américaines, et le CERT-FR l’a reprise dans son avis du 15 octobre.

Qui est concerné

Les pare-feu PA-Series et VM-Series ainsi que Panorama (virtuel et M-Series) sous PAN-OS 10.2, 11.1, 11.2, 12.1 ou 12.2 avant les versions correctives. Cloud NGFW et Prisma Access ne sont pas touchés. Il faut certes un identifiant, mais les mots de passe d’administration volés ou réutilisés ne manquent pas sur les pare-feu dont la page de gestion est ouverte sur Internet.

Que faire maintenant

1. Relevez la version avec show system info en ligne de commande et comparez-la au tableau de l’éditeur.
2. Mettez à jour : 12.2.4 ; 12.1.4-h12, 12.1.7-h8 ou 12.1.10-h2 ; 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 ou 11.2.16 ; 11.1.16-h3 ou le correctif indiqué pour votre version 11.1 ; 10.2.18-h12 ou le correctif indiqué pour votre version 10.2. Les versions qui ne sont plus maintenues doivent passer sur une branche supportée et corrigée.
3. Fermez l’interface d’administration à Internet et n’autorisez que quelques adresses internes de confiance : c’est la mesure que met en avant l’éditeur, faute de contournement.
4. Cherchez des traces : repérez dans vos journaux les connexions depuis 66.42.72[.]14, 208.83.239[.]114 et 149.248.47[.]234, passez en revue les connexions d’administrateurs et les changements de configuration, puis renouvelez les mots de passe d’administration.
5. Avec l’abonnement Threat Prevention, activez les signatures 510046 et 510047, dont l’éditeur reconnaît qu’elles n’offrent qu’une couverture partielle.

Notre avis

Une page d’administration accessible de partout transforme le moindre mot de passe divulgué en accès root sur l’équipement qui protège tout le réseau. Les interfaces de gestion doivent vivre sur un réseau dédié ou derrière un VPN, avec double authentification et une alerte à chaque nouvelle session d’administrateur.

Sources

• Palo Alto Networks — CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface
• CERT-FR — Multiples vulnérabilités dans les produits Palo Alto Networks (CERTFR-2026-AVI-1326)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-0322
• The Hacker News — Palo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation

Comment nous choisissons, vérifions et rédigeons nos analyses →