Le 14 octobre 2026, NVD a publié CVE-2026-0322 et la CISA l'a ajoutée le même jour à son catalogue KEV, avec une échéance au 17 octobre. Elle touche PAN-OS sur les pare-feu PA-Series et VM-Series et sur Panorama (virtuel et M-Series) : une exécution de code root via l'interface de management.
Le score est de 7.2, seulement HIGH. Ne te fie pas à ce chiffre : elle est exploitée.
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 7.2 (HIGH) |
| Vecteur | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| Publication NVD | 2026-10-14 |
| Ajout CISA KEV | 2026-10-14 |
| Échéance CISA | 2026-10-17 |
| Ransomware connu | non (selon la CISA) |
Ce que fait la faille
A remote code execution (RCE) vulnerability in the management interface of Palo Alto Networks PAN-OS® software enables an authenticated attacker with network access to execute arbitrary code with root privileges on the firewall.
La CISA la qualifie d'injection de code. L'attaquant doit être authentifié sur l'interface de management et pouvoir la joindre. Il en ressort avec le contrôle root de l'équipement.
Ne sont pas affectés : Cloud NGFW et Prisma Access.
Pourquoi un 7.2 mérite l'urgence
Le PR:H fait chuter le score : il faut un compte d'administration. Trois raisons de ne pas s'en rassurer.
- Les comptes admin de pare-feu fuient. Mots de passe réutilisés, comptes partagés, identifiants récupérés sur un poste d'administrateur compromis. Un attaquant déjà dans le réseau en trouve souvent.
- Les failles se chaînent. Un contournement d'authentification sur la même interface ferait de cette RCE authentifiée une RCE tout court. C'est un schéma classique sur les interfaces d'administration exposées.
- Root, ce n'est pas administrateur. Un admin PAN-OS change la politique ; un accès root permet de s'installer sous le système, d'intercepter le trafic, et de survivre à un changement de mot de passe.
Et surtout : elle est au KEV. Quelqu'un l'utilise déjà.
Versions
NVD liste les bornes suivantes pour PAN-OS : 10.2.0, 10.2.7, 10.2.8, 10.2.9 et 12.2.4. Ce sont des bornes de configuration CPE, pas la liste des versions corrigées à installer. Reporte-toi à l'avis de sécurité Palo Alto Networks pour la version de correctif propre à ta branche.
Pour un précédent sur la même gamme, voir CVE-2026-0300 sur l'Authentication Portal de PAN-OS.
Détection
- Connexions à l'interface de management depuis des adresses hors de tes réseaux d'administration
- Connexions administrateur à des horaires inhabituels ou depuis des comptes rarement utilisés
- Modifications de configuration non associées à un changement documenté
- Processus, fichiers ou tâches planifiées inattendus remontés par les outils de diagnostic Palo Alto ou lors d'une analyse forensique — la CISA renvoie à ses exigences de triage forensique pour cette entrée
Mitigation
- Appliquer la mise à jour PAN-OS indiquée par Palo Alto Networks pour ta branche, avant l'échéance du 17 octobre.
- Restreindre l'interface de management aux seules adresses IP internes de confiance, comme le recommande l'éditeur. Elle ne doit jamais être exposée à Internet.
- Vérifier les profils de management sur les interfaces de données : un profil qui autorise HTTPS ou SSH sur une interface exposée ouvre l'accès à l'administration.
- Auditer les comptes administrateurs : supprimer les comptes inutiles, imposer l'authentification multifacteur, faire tourner les mots de passe.
- En cas de doute : traiter l'équipement comme compromis, suivre la procédure de triage forensique, et faire tourner les secrets qu'il détient (clés VPN, certificats, comptes de service).
Pourquoi surveiller vos équipements de bordure
Un pare-feu est l'équipement qui voit tout le trafic. Une CVE notée HIGH mais exploitée sur son interface de management est plus urgente qu'une CRITICAL théorique ailleurs.
Avec cveo.tech, inventorie tes pare-feu avec leur version PAN-OS exacte, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.