Palo Alto、PAN-OS のゼロデイ脆弱性を警告 攻撃で悪用を確認

Palo Alto Networks は、PAN-OS の管理インターフェースに存在する重大度「高」のリモートコード実行の脆弱性が、攻撃者に悪用されていると警告しました。

ExploitPrevention Tools

CVE-2026-0322 として追跡されているこの脆弱性により、ネットワークにアクセスできる認証済みの攻撃者が、ファイアウォール上で root 権限により任意のコードを実行できます。

PAN-OS のゼロデイ脆弱性

この脆弱性は、PAN-OS の管理インターフェースにおけるコードインジェクションの弱点（CWE-94、CAPEC-242）です。影響を受けるのは、PA シリーズおよび VM シリーズのファイアウォールと、Panorama（仮想アプライアンスおよび M シリーズ）上の PAN-OS です。Cloud NGFW と Prisma Access は影響を受けません。

脆弱性の影響を受けるために特別な設定は必要ありません。Palo Alto は深刻度を「High」、推奨される対応の緊急度を「Highest」と評価しています。

CVSS 4.0 のスコアは露出状況によって異なります。インターネットを含むネットワークから管理インターフェースに到達できる場合は 8.6（CVSS-B および CVSS-BT）、踏み台サーバーなどを介した隣接ネットワークからのアクセスに限られる場合は 8.5（CVSS-B および CVSS-BT）です。いずれのベクトルも、高い権限が必要で、ユーザーの操作は不要です。

どちらも機密性、完全性、可用性への影響を「高」と評価しています。現状評価基準のスコアには、悪用コードが実際に使われている状況が反映されています。

Palo Alto Networks が公開したセキュリティアドバイザリによると、同社は管理インターフェースを狙った「ごく限定的な悪用」を確認しています。外部の IP アドレスから管理インターフェースに到達できる場合に、リスクは最も高くなります。

同社は、ベストプラクティスの導入ガイドラインが推奨するように、信頼できる内部 IP からのアクセスに制限していれば、リスクは大幅に低下するとしています。

悪用には認証が必要なため、攻撃者は盗んだ認証情報や脆弱な認証情報、あるいは別の認証バイパスの脆弱性を利用している可能性があります。そのため、インターネットに公開された管理インターフェースは特に危険です。

管理者は、現在使用しているマイナーバージョン系列の修正済みホットフィックス、または記載されている最新リリースにアップグレードする必要があります。サポート対象外の古い PAN-OS バージョンにはパッチが提供されないため、サポート対象の修正済みバージョンへ移行しなければなりません。

Palo Alto によると、回避策はありません。Threat Prevention のサブスクリプションを契約している顧客は、Threat ID 510046 と 510047（Applications and Threats コンテンツバージョン 9159-10287 以降）を有効にすることで、限定的な保護を受けられます。

これらのシグネチャが機能するには、管理者が次の設定をすべて行う必要があります。受信する MGT ポートのトラフィックをデータプレーン（DP）ポート経由にすること（例: DP インターフェースで管理プロファイルを有効にする）、受信する管理トラフィックに使用する証明書を置き換えること、ファイアウォールが検査できるよう管理インターフェースへの受信トラフィックを復号すること、管理サービスへの受信トラフィックで脅威防御を有効にすることです。Threat ID が機能するには SSL 復号が必要です。

推奨される対応は次のとおりです。管理インターフェースへのインターネットからのアクセスを直ちに遮断し、信頼できる内部 IP または堅牢化した踏み台サーバーのみに許可します。影響を受けるファイアウォールと Panorama アプライアンスには優先的にパッチを適用します。管理者の認証情報をローテーションし、不正に追加されたアカウントがないか確認します。管理ログを調べ、不審なログイン、設定変更、予期しないプロセスがないか確認します。公開状態にあったデバイスは、検査が完了するまで侵害された可能性があるものとして扱います。

ファイアウォールなどのエッジデバイスは、依然として価値の高い標的です。管理プレーンの露出は、過去の多くのPAN-OS の侵害の原因となってきました。防御側は、今回のアドバイザリを緊急性の高いものとして扱うべきです。