Palo Alto PAN-OS: una falla dell’interfaccia di gestione dà root sui firewall, già sfruttata

Palo Alto Networks ha corretto CVE-2026-0322, una falla dell’interfaccia di gestione di PAN-OS che consente a un amministratore autenticato di eseguire codice come root sui firewall PA-Series e VM-Series e su Panorama. Il produttore ha osservato uno sfruttamento limitato; la CISA ha dato alle agenzie USA tempo fino al 17 ottobre.

Cosa è successo

Il 14 ottobre 2026 Palo Alto Networks ha pubblicato un bollettino su CVE-2026-0322 (CVSS 4.0: 8,6), un’iniezione di codice nell’interfaccia web di gestione di PAN-OS. Un attaccante che raggiunge questa interfaccia e dispone di un account con privilegi elevati può eseguire codice arbitrario con privilegi root sul dispositivo. Il produttore segnala uno sfruttamento molto limitato e pubblica tre indirizzi IP legati agli attacchi. La CISA ha inserito la falla nel catalogo delle vulnerabilità sfruttate lo stesso giorno, con scadenza al 17 ottobre per le agenzie federali, e il CERT-FR l’ha ripresa il 15 ottobre.

Chi è coinvolto

I firewall PA-Series e VM-Series e Panorama (virtuale e M-Series) con PAN-OS 10.2, 11.1, 11.2, 12.1 o 12.2 precedenti alle versioni corrette. Cloud NGFW e Prisma Access non sono coinvolti. Serve un accesso, ma le password di amministrazione rubate o riutilizzate non mancano sui firewall la cui pagina di gestione è esposta su Internet.

Cosa fare ora

1. Verificate la versione con show system info da CLI e confrontatela con la tabella del produttore.
2. Aggiornate: 12.2.4; 12.1.4-h12, 12.1.7-h8 o 12.1.10-h2; 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 o 11.2.16; 11.1.16-h3 o l’hotfix indicato per la vostra versione 11.1; 10.2.18-h12 o l’hotfix indicato per la vostra versione 10.2. Le versioni non più supportate devono passare a un ramo supportato e corretto.
3. Chiudete l’interfaccia di gestione a Internet e consentite solo pochi indirizzi interni fidati: è la misura che il produttore mette in evidenza, in assenza di workaround.
4. Cercate tracce: individuate nei log le connessioni da 66.42.72[.]14, 208.83.239[.]114 e 149.248.47[.]234, controllate gli accessi degli amministratori e le modifiche di configurazione, e rinnovate le password di amministrazione.
5. Con l’abbonamento Threat Prevention, attivate le firme 510046 e 510047, che secondo il produttore offrono solo una copertura parziale.

Il nostro parere

Una pagina di amministrazione raggiungibile da ovunque trasforma qualsiasi password trapelata in un accesso root al dispositivo che protegge tutta la rete. Le interfacce di gestione vanno collocate su una rete dedicata o dietro una VPN, con autenticazione a più fattori e un avviso per ogni nuova sessione di amministratore.

Fonti

• Palo Alto Networks — CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface
• CERT-FR — Multiples vulnérabilités dans les produits Palo Alto Networks (CERTFR-2026-AVI-1326)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-0322
• The Hacker News — Palo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation

Come scegliamo, verifichiamo e scriviamo le nostre analisi →