PAN-OS CVE-2026-0322: RCE come root sull'interfaccia di gestione, sfruttata

Palo Alto Networks ha divulgato CVE-2026-0322 il 14 ottobre: un attaccante autenticato con accesso di rete all'interfaccia di gestione PAN-OS può eseguire codice arbitrario come root sul firewall. CISA l'ha inserita nel catalogo Known Exploited Vulnerabilities lo stesso giorno, con scadenza di remediation federale al 17 ottobre, perché Palo Alto ha già osservato sfruttamento in the wild. Il riflesso, leggendo "autenticato" e PR:H, è archiviarla sotto i bug non autenticati — ed è esattamente il riflesso su cui contano gli attaccanti che la stanno usando adesso.

Notizia in evoluzione — pubblicata alle 13:45 (11:45 UTC) del 15 ottobre 2026. Aggiornata man mano che vendor e CISA pubblicano.

In breve

CVE	CVE-2026-0322
Prodotto / versioni colpite	PAN-OS su PA-Series · VM-Series · Panorama (virtuale e M-Series); 10.2 prima di 10.2.18-h12 · 11.1 prima di 11.1.16-h3 · 11.2 prima di 11.2.16 · 12.1 prima di 12.1.10-h2 · 12.2 prima di 12.2.4. Cloud NGFW e Prisma Access non colpiti
Corretta in	Build minime corrette: 10.2.18-h12 · 11.1.16-h3 · 11.2.16 · 12.1.10-h2 · 12.2.4 (hotfix per manutenzione nella sezione Remediation); rilasciate il 14 ottobre 2026
CVSS	8.6 HIGH · CVSS 4.0 · assegnato da Palo Alto PSIRT · CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A
Sfruttata attivamente	Sì — "very limited exploitation" secondo Palo Alto; stato SSVC CISA exploitation active
CISA KEV	Aggiunta 2026-10-14; scadenza federale 2026-10-17 (BOD 26-04, forensic triage richiesto)
Advisory ufficiale	security.paloaltonetworks.com/CVE-2026-0322

"Autenticato" non è la rassicurazione che sembra

Il vettore CVSS 4.0 è AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H. PR:H significa che l'attaccante ha bisogno di autenticazione ad alto privilegio — una sessione amministratore valida sul dispositivo. Da solo sembra un bug che si può patchare alla prossima finestra di manutenzione. Due fatti ribaltano la lettura:

• È già sfruttata. L'advisory di Palo Alto afferma che "very limited exploitation has been observed targeting the Palo Alto Networks management interface", e la valutazione SSVC di CISA registra lo stato di sfruttamento come active. L'inserimento in KEV non è un'etichetta di gravità teorica: è l'affermazione che qualcuno la sta usando su firewall reali adesso.
• Amministratore su un firewall è totale. La debolezza è CWE-94, code injection, e l'impatto è esecuzione di codice come root sul dispositivo che vede e modella tutto il traffico. L'impatto su riservatezza, integrità e disponibilità è High su tutti e tre. Un firewall che esegue codice dell'attaccante non è un endpoint compromesso: è un punto di strozzatura compromesso.

La domanda a cui la versione del software non risponde è come l'attaccante arrivi a PR:H. Credenziali admin rubate, una sessione dirottata, un operatore vittima di phishing, una password riutilizzata da una violazione precedente o — quella che trasforma il problema da interno a problema di internet — un'interfaccia di gestione raggiungibile da reti non fidate. Palo Alto ha dovuto ripetere ai clienti di togliere l'interfaccia di gestione da internet, e il fatto che abbia osservato sfruttamento contro l'interfaccia di gestione dice che alcune di quelle interfacce erano raggiungibili.

"Siamo patchati alla 11.2.13, siamo a posto." Patchati, sì. Ma la TCP/443 dell'interfaccia di gestione risponde da fuori la subnet del jump host? È un'altra domanda, ed è quella che decide se PR:H è un freno vero o un dosso.

È la stessa lezione del bug cookie-forge di GlobalProtect che abbiamo analizzato a giugno: lo stato di patch non è lo stato di configurazione. Puoi avere la build corretta ed essere comunque esposto da come la scatola è raggiungibile.

Chi è esposto e come verificare la versione

CVE-2026-0322 colpisce PAN-OS su firewall hardware PA-Series, firewall virtuali VM-Series e Panorama (appliance virtuali e M-Series). Nessuna configurazione particolare è richiesta per essere vulnerabili alla falla sottostante. Cloud NGFW e Prisma Access non sono colpiti.

Verifica la versione in esecuzione da CLI o dalla dashboard:

show system info | match sw-version

Confrontala con la build minima corretta per il tuo branch (vedi Remediation). Se sei al di sotto, sei colpito.

Remediation

1. Sono colpito?

Conferma il train in esecuzione e se l'interfaccia di gestione è raggiungibile da qualcosa che non controlli:

show system info | match sw-version
show interface management | match "ip address"

Poi, da fuori la rete di gestione, conferma che il piano non risponda: un curl -sk --max-time 5 https://<mgmt-ip>/ che si connette da un segmento non fidato è di per sé un rilievo, indipendente dal livello di patch.

2. Patch — versioni corrette esatte

Aggiorna alla build corretta del tuo branch (letterale dall'advisory Palo Alto):

Branch	Build corrette
10.2	10.2.7-h38 · 10.2.10-h41 · 10.2.13-h26 · 10.2.16-h11 · 10.2.18-h12 (o successive)
11.1	11.1.4-h37 · 11.1.6-h39 · 11.1.7-h11 · 11.1.10-h35 · 11.1.13-h15 · 11.1.16-h3 (o successive)
11.2	11.2.4-h22 · 11.2.7-h21 · 11.2.10-h15 · 11.2.13-h3 · 11.2.16 (o successive)
12.1	12.1.4-h12 · 12.1.7-h8 · 12.1.10-h2 (o successive)
12.2	12.2.4 (o successive)

Scegli la build corretta pari o superiore alla tua release di manutenzione attuale; i train non più supportati devono passare a una versione corretta supportata. La build 11.2.16 aveva una ETA indicata al 15 ottobre: verifica la disponibilità prima di pianificare quella finestra.

3. Non puoi patchare subito? Controlli compensativi

Palo Alto afferma che non esiste alcun workaround che rimuova la vulnerabilità. Ciò che abbassa l'esposizione:

• Limita l'interfaccia di gestione ai soli IP interni fidati. È la mitigazione principale; limitare l'accesso a un jump host dedicato abbassa persino la gravità assegnata (a 8.5, AV:A) perché la superficie d'attacco non è più la rete ampia.
• Il Threat Prevention dà copertura parziale, non un fix. I Threat ID 510046 e 510047 (Applications and Threats content 9159-10287 o successivo) offrono protezione limitata, richiedono SSL decryption sul traffico di gestione e possono mancare varianti. Trattali come una rete mentre prepari la patch, non come la patch.

4. Caccia alla compromissione

Palo Alto ha pubblicato tre indirizzi IP associati ad attività malevola e a tentativi limitati di exploit. Cerca nei log del piano di gestione e del perimetro connessioni da o verso:

• 66.42.72.14
• 208.83.239.114
• 149.248.47.234

Mappa la caccia su MITRE ATT&CK: sfruttamento di un servizio esposto (T1190 Exploit Public-Facing Application quando l'interfaccia di gestione è raggiungibile da internet; T1059 Command and Scripting Interpreter per il payload di code injection; T1078 Valid Accounts per il prerequisito autenticato). Poiché la falla dà root sul firewall stesso, i log locali del dispositivo sono prove che un attaccante con esecuzione di codice avrebbe potuto alterare — correla con un archivio log fuori dalla scatola e con la telemetria di rete, non con la sola vista locale del firewall.

5. Eradica e verifica

L'entry KEV di CISA segnala il forensic triage come richiesto ai sensi del BOD 26-04. Se trovi un qualsiasi indicatore di esecuzione, tratta il firewall come compromesso: acquisisci lo stato per analisi forense, ricostruisci da un'immagine nota-buona anziché patchare in loco, ruota ogni credenziale e chiave API che il dispositivo deteneva o poteva raggiungere (account admin, segreti RADIUS/TACACS, certificati, token delle API di gestione) e solo allora conferma che la build corretta sia in esecuzione. Verifica di nuovo che l'interfaccia di gestione sia irraggiungibile da reti non fidate dopo la ricostruzione — il drift di configurazione che l'ha esposta la prima volta è ciò che più probabilmente tornerà.

Cosa non si sa ancora

• Nessun attore o campagna è stato attribuito pubblicamente; knownRansomwareCampaignUse è Unknown nell'entry KEV al momento della scrittura.
• Nessun proof-of-concept pubblico è emerso nelle fonti disponibili alla pubblicazione; gli IP pubblicati sono l'unico dettaglio tecnico rilasciato.
• L'enrichment NVD è incompleto — il record è Undergoing Analysis, con il solo punteggio CVSS 4.0 di Palo Alto, senza ancora un punteggio NVD indipendente.
• Il vettore di autenticazione negli attacchi osservati — come gli operatori hanno ottenuto la sessione PR:H richiesta — non è descritto nell'advisory.

Aggiorneremo questo articolo man mano che vendor e CISA pubblicano altro.

Chiusura: il fix è frammentato, e il freno è una configurazione

Cinque branch supportati, una trentina di build corrette, una scadenza federale di due giorni e un controllo compensativo che dipende dalla raggiungibilità di una singola interfaccia — la parte difficile di CVE-2026-0322 non è capirla, è sequenziare la risposta su un parco macchine senza tirare a indovinare. L'AI Remediation Advisor di Zero Hunt ordina i rilievi per sfruttabilità reale — prima CISA KEV, poi ciò che la campagna ha davvero dimostrato raggiungibile sulle tue scatole, poi CVSS ed EPSS — così il firewall esposto su internet la cui interfaccia di gestione ha risposto a una sonda non autenticata viene patchato prima di quello dietro un jump host. Emette la build corretta esatta per branch con note di rollout e rollback, l'ACL sull'interfaccia di gestione come controllo compensativo mentre la finestra viene pianificata, e poi ri-verifica il fix con la stessa prova che ha dimostrato l'esposizione, ogni record firmato al momento della scrittura (Ed25519, hash-chained) per l'obbligo di forensic triage imposto dall'entry KEV.

Arrivarci primi significa non fidarsi della tabella delle versioni. Poiché è PR:H, la domanda operativa è se esista affatto un percorso dell'attaccante verso l'interfaccia di gestione sulla tua installazione — ed è ciò a cui il penetration testing automatico continuo con un red team AI autonomo risponde, dove uno scanner non può. Zero Hunt opera black-box per default contro l'appliance reale: lo swarm di 10 agenti identifica piattaforma e train, mappa se il piano di gestione è raggiungibile da dove non dovrebbe, e — con un umano nel loop che autorizza ogni passo attivo — dimostra la sfruttabilità per singolo target con un proof-of-concept generativo e specifico per ambiente, invece di presumerla da un numero CVSS. On-premise, su modelli privati, così nulla del tuo perimetro lascia la scatola.