Palo Alto Networks confirmou na quarta-feira (14 de outubro de 2026) a exploração em ataques ativos de uma falha crítica de execução remota de código (RCE) no software PAN-OS, catalogada como CVE-2026-0322. A vulnerabilidade reside na interface de gerenciamento dos firewalls e permite que um atacante com credenciais válidas e acesso à rede execute código arbitrário com privilégios de root no dispositivo comprometido. A empresa classificou o problema com pontuação de severidade 8.6 e urgência máxima, destacando que a exploração exige autenticação prévia, mas nenhuma configuração especial é necessária para aproveitar a falha.
A vulnerabilidade afeta diretamente as linhas PA-Series e VM-Series, bem como os appliances virtuais e de série M do Panorama. Dispositivos que rodam Cloud NGFW e Prisma Access estão isentos. A falha foi descoberta internamente pela pesquisadora Suraj Siddharudh, principal em segurança de produtos da Palo Alto Networks, e não por um divulgador externo. As versões impactadas cobrem uma amplitude significativa de releases: PAN-OS 12.2 até a 12.2.3, 12.1 até a 12.1.4-h12, 12.1.7 até a 12.1.7-h8, 12.1.10 até a 12.1.10-h2, 11.2.4 até a 11.2.4-h22, 11.2.7 até a 11.2.7-h21, 11.2.10 até a 11.2.10-h15, 11.2.13 até a 11.2.13-h3, 11.2.0 até a 11.2.16 (excluso), 11.1.4 até a 11.1.4-h37, 11.1.6 até a 11.1.6-h39, 11.1.7 até a 11.1.7-h11, 11.1.10 até a 11.1.10-h35, 11.1.13 até a 11.1.13-h15, 11.1.16 até a 11.1.16-h3, 10.2.7 até a 10.2.7-h38, 10.2.10 até a 10.2.10-h41, 10.2.13 até a 10.2.13-h26, 10.2.16 até a 10.2.16-h11, e 10.2.18 até a 10.2.18-h12.
Palo Alto Networks já disponibilizou patches para as versões 10.2, 11.1, 11.2, 12.1 e 12.2, com a correção definitiva para a rama 11.2.16 programada para publicação no dia 15 de outubro. A empresa também divulgou três endereços IP associados às atividades de exploração observadas: 66.42.72.14, 208.83.239.114 e 149.248.47.234. Além disso, assinaturas de prevenção com Threat IDs 510046 e 510047 oferecem proteção limitada quando habilitadas, embora exijam SSL Decryption configurado.
A Agência de Segurança Cibernética dos Estados Unidos (CISA) incluiu a CVE-2026-0322 em seu catálogo de vulnerabilidades conhecidas e exploradas (KEV), determinando que agências federais civis implementem mitigações até 17 de outubro. A Palo Alto Networks reforçou que não existem workarounds confiáveis conhecidos e que a única mitigação eficaz consiste em restringir o acesso à interface de gerenciamento exclusivamente a endereços IP internos de confiança, conforme orientado em suas diretrizes de implementação segura. A empresa também publicou uma dezena de outros avisos de segurança no mesmo dia, abordando falhas de injeção de comando, negação de serviço, escalada local de privilégios, violação de identidade, XSS e travessia de caminhos, classificadas como severidade média ou baixa.
O que observar: organizações que operam firewalls Palo Alto devem priorizar a aplicação imediata dos patches, especialmente em ambientes onde credenciais de administrador estão expostas na rede ou em segmentos não segregados. Monitorar os três endereços IP maliciosos divulgados — 66.42.72.14, 208.83.239.114 e 149.248.47.234 — em sistemas de detecção e prevenção de intrusão (IDS/IPS), firewalls perimetrais e appliances Panorama. Analisar logs completos da interface de gerenciamento para identificar tentativas de requisições anômalas ou conexões origens nesses IPs. Organizar uma varredura proativa da frota de appliances Panorama, incluindo instâncias virtuais e unidades de hardware, para garantir que todos os dispositivos afetados recebam as correções apropriadas. Revisar políticas de segmentação de rede para confirmar que a interface de gerenciamento esteja efetivamente restrita a endereços IP internos de confiança, aplicando o princípio do menor privilégio. Equipores de SOC devem preparar runbooks de resposta a incidentes específicos para este cenário de exploração, incluindo indicadores de comprometimento compartilhados pela própria Palo Alto Networks.
Fontes: BleepingComputer, SecurityWeek, Palo Alto Networks
✓ Fontes independentes cruzadas e verificadas antes da publicação
