Palo Alto Networks har publisert sikkerhetsoppdateringer for null-dagssårbarheten CVE-2026-0322 i operativsystemet PAN-OS. Selskapet opplyser at sårbarheten, som har alvorlighetsgrad 8,6, allerede er utnyttet i angrep mot brannmurer.

Feilen finnes i administrasjonsgrensesnittet til PAN-OS og kan gjøre det mulig for autentiserte angripere med nettverkstilgang å kjøre kode som root på sårbare enheter. Palo Alto Networks bekreftet i et sikkerhetsvarsel publisert onsdag at selskapet har observert begrenset utnyttelse.

«Very limited exploitation has been observed targeting the Palo Alto Networks management interface», opplyser selskapet.

Ber kunder begrense tilgangen

Sårbarheten rammer PA-Series- og VM-Series-brannmurer, samt virtuelle Panorama-enheter og M-Series-apparater. Cloud NGFW og Prisma Access skal ikke være berørt.

For å utnytte feilen trenger angriperne eksisterende innloggingsopplysninger og nettverkstilgang til PAN-OS-grensesnittet. Palo Alto Networks anbefaler derfor at tilgangen til administrasjonsgrensesnittet begrenses til betrodde interne IP-adresser.

Selskapet har publisert rettelser for de berørte versjonene av PAN-OS 10.2, 11.1, 11.2, 12.1 og 12.2. En rettelse for PAN-OS 11.2.16 var ventet 15. oktober. Kunder som bruker eldre, ikke lenger støttede versjoner, må oppgradere til en støttet utgave.

Ingen kjent fullgod omvei

Palo Alto Networks opplyser at det ikke finnes noen kjent omgåelse av sårbarheten. Kunder med Threat Prevention-abonnement kan imidlertid aktivere signaturer som gir begrenset beskyttelse mot kjente angrepsmønstre.

«Limited coverage in Threat Prevention means that while known attack patterns can be identified using the current Threat ID, variations may exist that cannot currently be detected», advarer Palo Alto Networks.

Selskapet anbefaler oppgradering til en upåvirket versjon dersom CVE-en og den nødvendige eksponeringskonfigurasjonen gjelder kundens miljø.

Sårbarheten ble oppdaget internt av Suraj Siddharudh, senior hovedforsker innen produktsikkerhet hos Palo Alto Networks. Selskapet har også oppgitt tre IP-adresser som skal ha blitt brukt til å utnytte feilen: 66.42.72[.]14, 208.83.239[.]114 og 149.248.47[.]234.

CISA føyer sårbarheten til listen over aktivt utnyttede feil

USAs cybersikkerhets- og infrastruktursikkerhetsbyrå CISA har lagt CVE-2026-0322 til katalogen over kjente, aktivt utnyttede sårbarheter. Føderale sivile etater i USA må utbedre sårbarheten innen 17. oktober.

Palo Alto Networks har ikke opplyst når utnyttelsen startet, hvem som står bak angrepene, eller om angripere har kompromittert brannmurer eller brukt dem til å få tilgang til interne nettverk.