CISA confirma exploração ativa de RCE autenticado no PAN-OS

O que aconteceu

A CISA adicionou a CVE-2026-0322, falha no software de firewall PAN-OS da Palo Alto Networks, ao catálogo de vulnerabilidades em exploração ativa. Um atacante com credenciais válidas e acesso de rede pode executar código com privilégios máximos no firewall. O fabricante relata exploração muito limitada e já liberou correções.

Por que importa

O firewall protege a rede da empresa; comprometimento com privilégios root pode significar controle total do equipamento e do tráfego inspecionado. São afetados firewalls PA-Series, VM-Series e Panorama; Cloud NGFW e Prisma Access não são afetados. Nenhuma configuração especial é necessária para o ambiente estar vulnerável, e o risco é maior com a interface de gerenciamento exposta à internet.

O que fazer

Atualize o PAN-OS com urgência máxima: 12.2.4 ou posterior nas linhas 12.2, ou as versões corrigidas das linhas 12.1, 11.2, 11.1 e 10.2. Restrinja o acesso à interface de gerenciamento a IPs internos confiáveis ou a um jump box. Não há workaround conhecido.

Para o time técnico

CVE

CVE-2026-0322

Afetados

Palo Alto Networks PAN-OS · PAN-OS em PA-Series, VM-Series e Panorama (virtual e M-Series): 12.2 < 12.2.4; 12.1 < 12.1.4-h12, < 12.1.7-h8, < 12.1.10-h2; 11.2 < 11.2.4-h22, < 11.2.7-h21, < 11.2.10-h15, < 11.2.13-h3, < 11.2.16; 11.1 < 11.1.4-h37, < 11.1.6-h39, < 11.1.7-h11, < 11.1.10-h35, < 11.1.13-h15, < 11.1.16-h3; 10.2 < 10.2.7-h38, < 10.2.10-h41, < 10.2.13-h26, < 10.2.16-h11, < 10.2.18-h12. Cloud NGFW e Prisma Access não são afetados. Versões sem suporte: todas afetadas.

Exploração

Palo Alto Networks classifica a maturidade como ATTACKED e relata exploração muito limitada contra a interface de gerenciamento. A CISA listou a CVE-2026-0322 no catálogo KEV, indicando exploração ativa.

Correção

Atualizar: 12.2 para 12.2.4+; 12.1 para 12.1.4-h12+, 12.1.7-h8+ ou 12.1.10-h2+; 11.2 para 11.2.4-h22+, 11.2.7-h21+, 11.2.10-h15+, 11.2.13-h3+ ou 11.2.16+; 11.1 para 11.1.4-h37+, 11.1.6-h39+, 11.1.7-h11+, 11.1.10-h35+, 11.1.13-h15+ ou 11.1.16-h3+; 10.2 para 10.2.7-h38+, 10.2.10-h41+, 10.2.13-h26+, 10.2.16-h11+ ou 10.2.18-h12+. Versões sem suporte: migrar para versão corrigida suportada. Não há workaround conhecido. Assinatura Threat Prevention com Threat IDs 510046 e 510047 (conteúdo 9159-10287 ou posterior) dá cobertura limitada e exige rotear o tráfego do MGT por porta DP, substituir o certificado de gerenciamento de tráfego de entrada, descriptografar o tráfego para a interface e habilitar threat prevention na entrada.

Vetor

Injeção de código (CWE-94, CAPEC-242) na interface de gerenciamento do PAN-OS. Vetor de rede (AV:NETWORK), complexidade baixa, sem interação do usuário e sem requisitos de ataque; exige atacante autenticado com acesso de rede (PR:HIGH) e permite código arbitrário com privilégios root. Nenhuma configuração especial é exigida para estar afetado; risco maior com a interface de gerenciamento acessível de IPs externos da internet.

Mais detalhes

Descoberta interna, creditada a Suraj Siddharudh (relator interno). Aviso publicado em 2026-10-14 e atualizado em 2026-10-15. CVSS-BT 8.6 (CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A), gravidade HIGH, urgência sugerida HIGHEST, esforço de resposta MODERATE, não automatizável. Mitigação recomendada pelo fabricante: restringir o acesso à interface de gerenciamento a IPs internos confiáveis ou a um jump box exclusivo.

Linha do tempo

1. 26/10/2026 13:29

   Entrada no KEV da CISA indica exploração ativa da falha.

Fontes 2 fontes

• NVD: CVE-2026-0322 NVD
• Palo Alto Networks PAN-OS: CVE-2026-0322 Palo Alto Networks

Ver todas as notícias