Palo Alto Networks a publié des correctifs pour une vulnérabilité déjà exploitée dans PAN-OS. Elle permet à un attaquant disposant d’un accès privilégié d’exécuter du code avec les droits les plus élevés sur les équipements vulnérables.
Les alertes se succèdent chez Palo Alto Networks. En mai dernier, l’éditeur signalait une faille critique dans PAN-OS, déjà exploitée pour exécuter du code à distance sans authentification. En juillet, une autre vulnérabilité touchant GlobalProtect permettait à des pirates de pénétrer des réseaux d’entreprise et d’y déployer le ransomware Qilin. Cette fois, c’est l’interface d’administration des pare-feu qui est concernée. Référencée CVE-2026-0322, la nouvelle faille a été rendue publique mercredi 14 octobre, alors que des tentatives d’exploitation avaient déjà été observées.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Une faille qui permet d’obtenir les privilèges root sur les pare-feu
La vulnérabilité affecte l’interface de gestion de PAN-OS, utilisée par les administrateurs pour configurer les pare-feu et superviser leur fonctionnement. Elle permet d’injecter du code dans le système et de l’exécuter avec les privilèges root, le niveau d’autorisation le plus élevé. Un pirate pourrait ainsi intervenir directement sur le système d’exploitation de l’équipement, au-delà des fonctions normalement accessibles depuis son interface d’administration.
L’exploitation nécessite toutefois deux conditions. L’attaquant doit déjà disposer d’un accès authentifié avec des privilèges élevés et pouvoir communiquer avec l'interface de gestion par le réseau. La faille ne permet donc pas de prendre le contrôle d'un pare-feu sans identifiants, contrairement à d’autres vulnérabilités découvertes cette année. Elle représente en revanche un risque important lorsqu’un compte privilégié a été compromis, en particulier si l'interface d’administration est accessible depuis un réseau non fiable.
Palo Alto Networks attribue à CVE-2026-0322 un score de gravité de 8,6 sur 10 et confirme avoir observé une exploitation très limitée. L’éditeur a également publié trois adresses IP associées à des tentatives d’attaque : 66.42.72[.]14, 208.83.239[.]114 et 149.248.47[.]234. Il ne précise toutefois ni l’identité des attaquants, ni les circonstances de ces opérations, ni si celles-ci ont permis de compromettre des équipements.
Mettre les pare-feu à jour et vérifier qu’ils n’ont pas été compromis
La vulnérabilité concerne plusieurs générations de PAN-OS, des versions 10.2 à 12.2, sur les pare-feu physiques PA-Series, les modèles virtuels VM-Series ainsi que les appliances Panorama utilisées pour leur administration centralisée. Les services Cloud NGFW et Prisma Access ne sont pas affectés.
Pour les entreprises concernées, priorité donc aux mises à jour. Palo Alto Networks a publié des patchs pour les différentes versions vulnérables. Celui destiné à PAN-OS 11.2.16 est annoncé pour ce jeudi 15 octobre. L’éditeur recommande également de réserver l’accès aux interfaces d’administration aux adresses IP internes de confiance ou à un serveur dédié, afin d’empêcher les connexions depuis des réseaux non autorisés.
Les entreprises abonnées à Threat Prevention disposent également de deux signatures de détection, référencées 510046 et 510047. Mais leur efficacité dépend de la configuration de l’inspection du trafic chiffré, et leur couverture se limite aux méthodes d’attaque déjà identifiées. Elles ne remplacent donc pas les correctifs.
Enfin, si vous soupçonnez une intrusion, examinez les journaux de connexion et les éventuelles modifications de configuration de vos équipements. Vérifiez également si l’une des trois adresses IP signalées par Palo Alto Networks apparaît dans les journaux. En cas de compromission avérée, l'installation du patch ne garantit pas l’élimination d’une éventuelle présence malveillante. Il faudra alors préserver les éléments utiles à l’enquête avant d’envisager, selon les résultats de l’analyse, une réinitialisation approfondie des équipements physiques ou le redéploiement des instances virtuelles.
