Palo Alto Networksは、PAN-OSの管理インターフェースに、すでに悪用が確認されている脆弱性が存在することを公表しました。認証済みの攻撃者が、root権限で任意のコードを実行できるおそれがあります。
この脆弱性は「CVE-2026-0322」として追跡されており、CVSS 4.0のスコアは8.6、対処の緊急度は「HIGHEST」とされています。
同社は、管理インターフェースを狙った「ごく限定的な悪用」を確認したと報告しています。悪用にはネットワークアクセスと高い権限が必要です。この点で、認証不要のリモート侵害とは性質が異なります。
とはいえ、root権限でコードが実行されれば、影響を受けたシステムは機密性、完全性、可用性のいずれにも深刻な被害を受ける可能性があります。この脆弱性はCWE-94（コード生成の不適切な制御、一般にコードインジェクションと呼ばれる）に分類されています。
認証済みの攻撃者は、管理インターフェースを悪用して、ファイアウォールの最高権限で任意のコードを実行できます。アドバイザリーによると、攻撃の複雑さは低く、ユーザーの操作も追加の攻撃条件も必要ありません。
影響を受けるために特別な設定は必要ありません。ただし、実際のリスクは、攻撃者が管理インターフェースに到達でき、かつ認証要件を満たせるかどうかによって左右されます。
影響を受けるのは、PA-SeriesおよびVM-Seriesのファイアウォールと、仮想環境またはM-Seriesハードウェア上で稼働するPanoramaアプライアンスです。Cloud NGFWとPrisma Accessは影響を受けず、対応も不要です。
Palo Alto Networksは、社内の研究者Suraj Siddharudh氏が問題を発見し報告したとしています。一方、アドバイザリーでは、攻撃者の正体、最初に認証情報を入手した方法、脆弱なコードパスの詳細は明らかにされていません。
修正はPAN-OS 12.2、12.1、11.2、11.1、10.2の各ブランチで提供されます。管理者は、新しいリリースであれば必ず保護されていると考えず、運用中のブランチに対応したメンテナンスリリースまたはホットフィックスを選択する必要があります。
修正版は、PAN-OS 12.2.4、12.1.4-h12、12.1.7-h8、12.1.10-h2、11.2.4-h22、11.2.7-h21、11.2.10-h15、11.2.13-h3などです。PAN-OS 11.2.16は10月15日に公開が予定されていましたが、提供状況の確認が必要です。
PAN-OS 11.1では、11.1.4-h37、11.1.6-h39、11.1.7-h11、11.1.10-h35、11.1.13-h15、11.1.16-h3が修正版です。PAN-OS 10.2では、10.2.7-h38、10.2.10-h41、10.2.13-h26、10.2.16-h11、10.2.18-h12が修正版となります。サポート対象外のリリースを使用している場合は、サポート対象の修正版へ移行する必要があります。
この脆弱性を完全に解消できる回避策は、現時点で知られていません。ベンダーは、管理アクセスを信頼できる内部IPアドレスに限定し、できれば専用の踏み台サーバー経由にするよう推奨しています。インターネットからアクセス可能な管理インターフェースは最もリスクが高く、直ちに対処すべきです。
検知の対象とするには、管理トラフィックをデータプレーンインターフェース経由にし、受信管理用の証明書を設定したうえで、受信管理トラフィックを復号し、脅威防御の検査を有効にする必要があります。
これらのシグネチャを機能させるには、SSL復号が必須です。Palo Alto Networksは、検知の対象は既知の攻撃パターンであり、亜種は検査をすり抜ける可能性があると注意を促しています。そのため、シグネチャはパッチ適用の代わりにはなりません。
アドバイザリーは、脅威活動および限定的な悪用の試みに関連するIPアドレスとして、66[.]42[.]72[.]14、208[.]83[.]239[.]114、149[.]248[.]47[.]234の3件を挙げています。
これらの指標は調査の手がかりになります。ただし、アドバイザリーは、これらのアドレスが関与するすべての通信が悪用の成功を意味すると断定しているわけではありません。
管理者は、ネットワーク制限やシグネチャによる検知だけに頼らず、管理インターフェースの露出を絞り込みながら、サポート対象のセキュリティアップデートを最優先で適用すべきです。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/palo-alto-pan-os-zero-day/
