Palo Alto PAN-OS : une faille d'exécution de code en root déjà exploitée (CVE-2026-0322)

Palo Alto Networks a publié le 14 octobre un avis de sécurité sur la vulnérabilité CVE-2026-0322. Elle touche l'interface d'administration de PAN-OS, le système de ses pare-feu. Selon l'éditeur, un attaquant authentifié qui peut joindre cette interface par le réseau peut exécuter du code arbitraire avec les privilèges root. Palo Alto indique avoir observé une exploitation « très limitée ». Selon BleepingComputer, la CISA, l'agence américaine de cybersécurité, a ajouté la faille à son catalogue des vulnérabilités exploitées (KEV) et demande aux agences fédérales civiles de la traiter au plus tard le 17 octobre.

Quels équipements sont concernés ?

La faille touche les pare-feu physiques PA-Series, les pare-feu virtuels VM-Series et les consoles Panorama, en version virtuelle comme sur boîtier M-Series. Cloud NGFW et Prisma Access ne sont pas concernés. L'avis attribue la note de 8,6 sur 10 (CVSS 4.0, gravité élevée), et 8,5 si l'accès est limité à un poste de rebond. Les privilèges requis sont élevés : il faut disposer d'identifiants valides sur l'interface d'administration. C'est une limite réelle, mais pas une garantie. Des identifiants volés, réutilisés ou laissés par défaut suffisent.

La découverte est interne : elle est créditée à Suraj Siddharudh, chercheur en sécurité de Palo Alto Networks. L'éditeur n'a pas précisé depuis quand la faille est exploitée ni qui l'exploite. Il n'a pas dit non plus si des attaquants ont rebondi vers les réseaux internes.

Les versions corrigées

• PAN-OS 12.2 : 12.2.4 et suivantes ;
• PAN-OS 12.1 : 12.1.4-h12, 12.1.7-h8 ou 12.1.10-h2 selon la branche ;
• PAN-OS 11.2 : 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, ou 11.2.16 (annoncée pour le 15 octobre) ;
• PAN-OS 11.1 : de 11.1.4-h37 à 11.1.16-h3 selon la branche ;
• PAN-OS 10.2 : de 10.2.7-h38 à 10.2.18-h12 selon la branche.

Les versions qui ne sont plus maintenues doivent passer à une version maintenue et corrigée. Le tableau détaillé figure dans l'avis de l'éditeur.

Que faire ?

• Vérifier l'exposition : l'interface d'administration ne doit jamais être joignable depuis Internet. Palo Alto recommande de la limiter à des adresses internes de confiance, ou mieux à un seul poste de rebond.
• Appliquer le correctif de votre branche. L'avis indique qu'il n'existe pas de contournement.
• Chercher des traces : l'avis cite trois adresses IP associées aux attaques, 66.42.72[.]14, 208.83.239[.]114 et 149.248.47[.]234. Recherchez-les dans les journaux d'accès à l'administration.
• Signatures : les abonnés Threat Prevention peuvent activer les signatures 510046 et 510047 (contenu 9159-10287 ou ultérieur), à condition de déchiffrer le trafic SSL. L'éditeur prévient que des variantes de l'attaque pourraient passer inaperçues.
• Revoir les comptes d'administration : renouveler les mots de passe des comptes administrateurs et vérifier qu'aucun compte inconnu n'a été créé.