PAN-OS zero-day CVE-2026-0322 misbruikt voor rootrechten

Palo Alto Networks heeft een ernstige kwetsbaarheid in PAN-OS gedicht waarmee op afstand code kan worden uitgevoerd. Aanvallers hebben het lek al misbruikt tegen firewalls van het bedrijf. De bug heeft het kenmerk CVE-2026-0322 en zit in de beheerinterface van PAN-OS.

Een aanvaller die is ingelogd en via het netwerk bij die interface kan, kan op een kwetsbaar apparaat code uitvoeren als root. In een woensdag gepubliceerd beveiligingsbericht bevestigt het bedrijf dat het lek bij een klein aantal aanvallen is gebruikt.

"Er is zeer beperkt misbruik waargenomen dat gericht is op de beheerinterface van Palo Alto Networks", aldus de fabrikant.

Getroffen producten en gepatchte versies

De kwetsbaarheid heeft een ernstigheidsscore van 8,6. Het lek treft firewalls uit de PA-Series en VM-Series, en daarnaast virtuele Panorama-appliances en appliances uit de M-Series. Panorama is het centrale beheerplatform van het bedrijf voor zijn firewalls. Volgens Palo Alto zijn Cloud NGFW en Prisma Access niet kwetsbaar.

Er zijn updates beschikbaar voor de getroffen releases van PAN-OS 10.2, 11.1, 11.2, 12.1 en 12.2. Een update voor PAN-OS 11.2.16 wordt op 15 oktober verwacht. Klanten die nog op oudere versies zonder ondersteuning draaien, moeten overstappen op een ondersteunde release om beschermd te zijn.

De kwetsbaarheid werd intern ontdekt door Suraj Siddharudh, senior principal product security researcher bij Palo Alto Networks.

Inloggegevens en toegang vereist

De aanval staat niet open voor iedereen op internet. Een aanvaller heeft geldige inloggegevens nodig en moet via het netwerk bij de beheerinterface van PAN-OS kunnen. Palo Alto raadt klanten daarom aan om toegang tot die interface alleen toe te staan vanaf vertrouwde interne IP-adressen.

Er zijn geen bekende tijdelijke oplossingen. Klanten met een Threat Prevention-abonnement kunnen signatures inschakelen die enige bescherming bieden tegen bekende aanvalspatronen, maar het bedrijf zegt duidelijk dat die dekking niet waterdicht is.

"Beperkte dekking in Threat Prevention betekent dat bekende aanvalspatronen weliswaar kunnen worden herkend met de huidige Threat ID, maar dat er varianten kunnen bestaan die momenteel niet kunnen worden gedetecteerd", waarschuwt Palo Alto.

"Als deze CVE en de vereiste configuratie voor blootstelling op uw omgeving van toepassing zijn, raden wij aan te upgraden naar een niet-getroffen versie", voegt het bedrijf eraan toe.

IP-adressen van aanvallers en deadline van CISA

Palo Alto heeft drie IP-adressen gedeeld die in verband worden gebracht met misbruik van het lek:

• 66.42.72[.]14
• 208.83.239[.]114
• 149.248.47[.]234

Een aantal belangrijke vragen is nog onbeantwoord. BleepingComputer heeft het bedrijf gevraagd wanneer het misbruik begon, wie er achter de aanvallen zit en of de aanvallers firewalls hebben overgenomen of ze hebben gebruikt om interne netwerken binnen te dringen.

Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft CVE-2026-0322 toegevoegd aan zijn catalogus van Known Exploited Vulnerabilities (KEV). De KEV-catalogus bevat lekken waarvan vaststaat dat ze actief worden aangevallen, en opname daarin brengt bindende deadlines met zich mee voor civiele federale instanties in de VS. In dit geval moeten die instanties het lek uiterlijk 17 oktober hebben aangepakt, waardoor ze maar een paar dagen hebben.

Onze analyse

Doordat geldige inloggegevens nodig zijn, lijkt dit lek misschien minder urgent, maar verdedigers doen er goed aan voorzichtig te zijn met die conclusie. Aanvallers komen vaak aan inloggegevens via phishing, hergebruik van gelekte wachtwoorden of eerdere inbraken, en het bevestigde misbruik wijst erop dat in elk geval een deel van hen had wat ze nodig hadden. Roottoegang tot een firewall is ongeveer de waardevolste uitvalsbasis die een aanvaller kan krijgen.

De zaak past ook in een breder patroon. Edge- en netwerkapparatuur duikt keer op keer op in meldingen over misbruikte zero-days, zoals onlangs bij de zero-day in Cisco Secure Email Gateway, het SAML-lek in Citrix NetScaler en aanvallen op SonicWall SMA1000-apparaten. Beheerinterfaces die buiten vertrouwde netwerken bereikbaar zijn, blijven een terugkerende zwakke plek.

Beheerders moeten patchen, de toegang tot het beheer dichttimmeren en hun logs controleren op de gepubliceerde IP-adressen. Het is de moeite waard om in de gaten te houden of Palo Alto meer bekendmaakt over wie er achter de aanvallen zit en of interne netwerken zijn bereikt.