פאלו אלטו נטוורקס תיקנה את חולשת ה-RCE של PAN-OS שנוצלה באופן פעיל

חולשת ה-RCE של הפיירוול תוקנה לאחר ניצול מוגבל

פאלו אלטו נטוורקס פרסמה ב-15 באוקטובר 2026 עדכוני אבטחה עבור CVE-2026-0322, חולשת ביצוע קוד מרחוק בסיכון גבוה בממשק הניהול של PAN-OS, עם ציון CVSS של 8.6. לדברי החברה, תוקף מאומת שיש לו גישה לרשת יכול להריץ קוד שרירותי על הפיירוול עם הרשאות רוט.

הספק הודיע כי הניצול של ממשק הניהול של פאלו אלטו נטוורקס היה מוגבל מאוד. הוא לא פירט את הפעילות, לא זיהה את התוקפים ולא ציין מתי זה החל. שלוש כתובות IP, הממוקמות גאוגרפית בארה"ב, נקשרו לניסיונות אלה: 66.42.72.14, 208.83.239.114 ו-149.248.47.234.

פלטפורמות שנפגעו וגרסאות עדכון

החולשה משפיעה על PAN-OS בפיירוולים של סדרות PA-Series ו-VM-Series, וכן על Panorama בפריסות וירטואליות ו-M-Series. Cloud NGFW ו-Prisma Access אינם פגיעים. פאלו אלטו נטוורקס ציינה כי לניצול החולשה לא נדרשת תצורה מיוחדת.

התיקונים זמינים ב-PAN-OS 12.2.4 או בגרסה חדשה יותר; 12.1.4-h12, 12.1.7-h8, 12.1.10-h2 או חדשות יותר; 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 ו-11.2.16 או חדשות יותר, כאשר 11.2.16 מתוכנן ל-15 באוקטובר 2026; 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 ו-11.1.16-h3 או חדשות יותר; וכן 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 ו-10.2.18-h12 או חדשות יותר.

כדי להפחית את הסיכון, החברה המליצה להגביל את הגישה לממשק הניהול לכתובות IP פנימיות מהימנות או באמצעות jump box, שיהיה המערכת היחידה עם גישה אליו. החולשה התגלתה ודיווחה על ידי חוקר האבטחה הראשי של מוצר פאלו אלטו נטוורקס, סוראג' סידהרוד.

CISA הוסיפה את חולשות PAN-OS ו-Cisco דואר אלקטרוני לקטלוג KEV

סיסקו הזהירה בנפרד כי גורמי איום מנצלים את CVE-2026-76519, חולשה קריטית ב-Cisco Secure Email Gateway, עם ציון CVSS של 9.8. לדברי החברה, עיבוד שגוי של הודעות דוא"ל כאשר שירות המוניטין של קבצים מופעל, עשוי לאפשר לתוקף לא מאומת מרחוק לשלוח הודעה מותאמת במיוחד, לכתוב קבצים שרירותיים למערכת ההפעלה ולהפעיל פקודות עם הרשאות רוט.

CISA הוסיפה את CVE-2026-0322 ואת CVE-2026-76519 לקטלוג "חולשות שנוצלו ידועות", מה שמחייב סוכנויות פדרליות אזרחיות לתעדף את התיקונים עד 17 באוקטובר 2026.

מקורות: The Hacker News