Palo Alto Networks heeft woensdag beveiligingsupdates uitgebracht voor een kritisch-hoog risicolek in PAN-OS-software dat al actief wordt misbruikt.
De kwetsbaarheid, geregistreerd als CVE-2026-0322 (CVSS-score: 8.6), betreft remote code execution in de beheerinterface.
“Een remote code execution (RCE) kwetsbaarheid in de beheerinterface van Palo Alto Networks PAN-OS-software stelt een geauthenticeerde aanvaller met netwerktoegang in staat willekeurige code uit te voeren met rootrechten op de firewall,” aldus Palo Alto Networks.
Het probleem treft PAN-OS-software op PA-Series en VM-Series firewalls en op Panorama (virtueel en M-Series). Cloud NGFW en Prisma Access zijn niet kwetsbaar voor dit probleem.
Palo Alto Networks gaf aan dat geen speciale configuratie vereist is om de kwetsbaarheid te misbruiken, maar dat het beveiligingsrisico kan worden beperkt door de toegang tot de beheerinterface te beperken tot alleen vertrouwde interne IP-adressen.
“U kunt het risico op misbruik verminderen door de toegang te beperken tot een jumpbox die het enige systeem is dat de beheerinterface mag benaderen,” aldus het bedrijf.
Patchversies zijn beschikbaar in de volgende releases:
- PAN-OS >= 12.2.4
- PAN-OS >= 12.1.4-h12, >= 12.1.7-h8, >= 12.1.10-h2
- PAN-OS >= 11.2.4-h22, >= 11.2.7-h21, >= 11.2.10-h15, >= 11.2.13-h3, >= 11.2.16 (ETA: 15 oktober 2026)
- PAN-OS >= 11.1.4-h37, >= 11.1.6-h39, >= 11.1.7-h11, >= 11.1.10-h35, >= 11.1.13-h15, >= 11.1.16-h3
- PAN-OS >= 10.2.7-h38, >= 10.2.10-h41, >= 10.2.13-h26, >= 10.2.16-h11, >= 10.2.18-h12
Het netwerkbeveiligingsbedrijf erkent dat het “zeer beperkte uitbuiting” heeft waargenomen die zich richt op de beheerinterface van Palo Alto Networks, maar gaf geen nadere details over de aard van de kwaadaardige activiteiten, wie erachter zit of wanneer die startten.
De volgende IP-adressen, geolokaliseerd naar de VS, worden beoordeeld als gelinkt aan de exploitpogingen:
- 66.42.72[.]14
- 208.83.239[.]114
- 149.248.47[.]234
De ontdekking en melding van de kwetsbaarheid worden toegeschreven aan Suraj Siddharudh, senior principal product security researcher bij Palo Alto Networks.
De bekendmaking komt terwijl Cisco waarschuwde dat bedreigingsactoren een kritieke fout in Cisco Secure Email Gateway (CVE-2026-76519, CVSS-score: 9.8) misbruiken, waarmee een niet-geauthenticeerde, externe aanvaller willekeurige bestanden op het onderliggende besturingssysteem zou kunnen schrijven.
“Deze kwetsbaarheid wordt veroorzaakt door onjuiste verwerking van e-mailbijlagen wanneer de file reputation service is ingeschakeld,” aldus Cisco. “Een aanvaller kan deze kwetsbaarheid misbruiken door een e-mail met een speciaal geconstrueerde bijlage via een getroffen apparaat te versturen. Een succesvolle exploit kan de aanvaller in staat stellen willekeurige bestanden te schrijven en commando’s met rootrechten uit te voeren op het onderliggende besturingssysteem.”
De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft sindsdien zowel CVE-2026-0322 als CVE-2026-76519 toegevoegd aan haar Known Exploited Vulnerabilities (KEV) catalogus, waardoor federale civiele uitvoerende takken (FCEB) verplicht worden prioriteit te geven aan het verhelpen van deze kwetsbaarheden vóór 17 oktober 2026.
