PAN-OS : une faille exploitée vise l'interface d'admin

Palo Alto Networks a publié le 14 octobre 2026 un bulletin consacré à la faille PAN-OS CVE-2026-0322, une vulnérabilité de l'interface d'administration de ses pare-feu qui permet d'exécuter du code avec les privilèges root. L'éditeur indique avoir observé une exploitation « très limitée » de la faille, et recommande une mise à jour avec le niveau d'urgence le plus élevé. Voici ce qu'il faut savoir et vérifier.

Ce que permet la faille

La vulnérabilité est classée comme une injection de code (CWE-94). Selon le bulletin, un attaquant authentifié disposant d'un accès réseau à l'interface de gestion peut exécuter du code arbitraire avec les droits root sur le pare-feu. Son score CVSS 4.0 est de 8,6, soit une sévérité « élevée ».

Deux conditions limitent le risque : il faut des identifiants d'administration (privilèges « élevés » selon le vecteur CVSS) et un accès à l'interface de gestion. Aucune configuration particulière n'est en revanche nécessaire pour être concerné. L'exposition est maximale lorsque cette interface est joignable depuis Internet. La faille a été découverte en interne chez Palo Alto Networks.

Quels produits sont touchés

Sont concernés les pare-feu physiques PA-Series, les pare-feu virtuels VM-Series et Panorama (en version virtuelle comme sur appliances M-Series). Cloud NGFW et Prisma Access ne sont pas affectés.

Les correctifs couvrent les branches maintenues de PAN-OS :

• 12.2 : version 12.2.4 ;
• 12.1 : 12.1.4-h12, 12.1.7-h8 ou 12.1.10-h2 ;
• 11.2 : 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, et 11.2.16 annoncée pour le 15 octobre ;
• 11.1 : 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 ou 11.1.16-h3 ;
• 10.2 : 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 ou 10.2.18-h12.

Les équipements sous une version qui n'est plus maintenue doivent être migrés vers une version corrigée prise en charge.

Pas de contournement, mais des mesures de réduction

Le bulletin est clair : il n'existe aucun contournement connu. Plusieurs mesures permettent toutefois de réduire l'exposition en attendant la mise à jour :

• restreindre l'accès à l'interface de gestion à des adresses internes de confiance, idéalement via une machine de rebond ;
• faire passer le trafic de gestion par un port du plan de données doté d'un profil de gestion ;
• remplacer le certificat utilisé pour le trafic de gestion entrant et déchiffrer ce trafic afin que le pare-feu puisse l'inspecter.

Les clients de l'abonnement Threat Prevention peuvent activer les signatures 510046 et 510047. Cette couverture reste partielle, exige le déchiffrement SSL, et ne dispense pas de la mise à jour.

Vérifier les traces d'attaque

Palo Alto Networks associe trois adresses IP à l'activité malveillante et aux tentatives d'exploitation : 66.42.72.14, 208.83.239.114 et 149.248.47.234. Rechercher ces adresses dans les journaux d'accès à l'interface de gestion est un premier réflexe. Comme l'attaque suppose une authentification, il est aussi prudent de passer en revue les comptes administrateurs et de renouveler leurs mots de passe en cas de doute.

Cette alerte s'ajoute à une série de failles exploitées sur des équipements de bordure, comme celles qui ont récemment touché Citrix NetScaler. Elle tombe aussi en pleine semaine de correctifs, après un Patch Tuesday d'octobre particulièrement chargé. Pour les équipes réseau, la règle de base reste la même : une interface d'administration ne devrait jamais être exposée directement sur Internet.