Zero-day PAN-OS CVE-2026-0322 exploitée pour un accès root
Palo Alto Networks a corrigé une faille d'exécution de code à distance de gravité élevée dans PAN-OS, déjà exploitée par des attaquants contre ses pare-feu. Référencée CVE-2026-0322, la vulnérabilité se trouve dans l'interface de gestion de PAN-OS.
Un attaquant authentifié disposant d'un accès réseau à cette interface peut exécuter du code avec les privilèges root sur un équipement vulnérable. Dans un bulletin de sécurité publié mercredi, l'entreprise a confirmé avoir constaté l'utilisation de la faille dans un petit nombre d'attaques.
"Une exploitation très limitée a été observée, visant l'interface de gestion de Palo Alto Networks", a indiqué l'éditeur.
Produits concernés et versions corrigées
La faille obtient un score de gravité de 8,6. Elle touche les pare-feu des gammes PA-Series et VM-Series, ainsi que les appliances Panorama virtuelles et M-Series. Panorama est la plateforme centralisée de l'entreprise pour la gestion de ses pare-feu. Selon Palo Alto, Cloud NGFW et Prisma Access ne sont pas concernés.
Des correctifs sont disponibles pour les versions concernées de PAN-OS 10.2, 11.1, 11.2, 12.1 et 12.2. Un correctif pour PAN-OS 11.2.16 est attendu le 15 octobre. Les clients qui utilisent encore des versions plus anciennes et non prises en charge doivent passer à une version prise en charge pour être protégés.
La vulnérabilité a été découverte en interne par Suraj Siddharudh, chercheur principal senior en sécurité produit chez Palo Alto Networks.
Identifiants et accès nécessaires
L'attaque n'est pas à la portée de n'importe qui sur Internet. L'attaquant doit disposer d'identifiants valides et d'un accès réseau à l'interface de gestion de PAN-OS. C'est pourquoi Palo Alto conseille à ses clients de n'autoriser l'accès à cette interface que depuis des adresses IP internes de confiance.
Il n'existe aucune solution de contournement connue. Les clients disposant d'un abonnement Threat Prevention peuvent activer des signatures qui offrent une certaine protection contre les schémas d'attaque connus, mais l'entreprise le dit clairement : cette couverture comporte des lacunes.
"La couverture limitée de Threat Prevention signifie que, si les schémas d'attaque connus peuvent être identifiés grâce à l'actuel Threat ID, il peut exister des variantes qui ne sont pas détectables pour l'instant", a prévenu Palo Alto.
"Si cette CVE et la configuration requise pour l'exposition concernent votre environnement, nous recommandons de passer à une version non affectée", a ajouté l'entreprise.
Adresses IP des attaquants et échéance de la CISA
Palo Alto a communiqué trois adresses IP liées à l'exploitation de la faille :
- 66.42.72[.]14
- 208.83.239[.]114
- 149.248.47[.]234
Plusieurs questions essentielles restent sans réponse. BleepingComputer a demandé à l'entreprise depuis quand la faille est exploitée, qui se cache derrière les attaques et si les attaquants ont compromis des pare-feu ou s'en sont servis pour atteindre des réseaux internes.
L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté CVE-2026-0322 à son catalogue des vulnérabilités activement exploitées (KEV). Ce catalogue recense les failles dont l'exploitation active est confirmée, et une inscription impose des échéances contraignantes aux agences fédérales civiles américaines. En l'occurrence, celles-ci doivent corriger la faille d'ici le 17 octobre, ce qui ne leur laisse que quelques jours.
Notre analyse
L'exigence d'identifiants valides peut donner l'impression que cette faille est moins urgente, mais les défenseurs auraient tort de s'en tenir à cette lecture. Les attaquants obtiennent souvent des identifiants par hameçonnage, par la réutilisation de mots de passe divulgués ou lors de compromissions antérieures, et l'exploitation confirmée laisse penser qu'au moins certains d'entre eux disposaient de ce qu'il leur fallait. Un accès root sur un pare-feu est à peu près la meilleure tête de pont qu'un attaquant puisse obtenir.
Cette affaire s'inscrit aussi dans une tendance plus large. Les équipements de périphérie et réseau reviennent sans cesse dans les signalements de zero-days exploitées, comme on l'a vu récemment avec la zero-day de Cisco Secure Email Gateway, la faille SAML de Citrix NetScaler et les attaques contre les équipements SonicWall SMA1000. Les interfaces de gestion exposées au-delà des réseaux de confiance restent un point faible récurrent.
Les administrateurs doivent appliquer les correctifs, verrouiller l'accès à l'interface de gestion et rechercher les adresses IP publiées dans leurs journaux. Reste à voir si Palo Alto en dira plus sur les auteurs des attaques et sur une éventuelle intrusion dans des réseaux internes.