Palo Alto Networksは、Panorama上で稼働するPAN-OSソフトウェアの認証済みリモートコード実行（RCE）の脆弱性「CVE-2026-0330」に対するパッチを公開しました。
2026年11月11日に公表されたこの問題を悪用すると、ネットワークにアクセスできる管理者が、root権限で任意のコードを実行できます。
認証不要の攻撃とは異なり、悪用には既存の管理者権限が必要です。そのため、直接この脆弱性を突ける人物は限られますが、影響を受ける管理システムは特権アカウントの悪用にさらされたままとなります。
この脆弱性はCWE-94（コード生成の不適切な制御）に分類され、CAPEC-242（コードインジェクション）に対応します。悪用に成功すると、管理機能へのアクセスにとどまらず、root権限でコードが実行されます。
この分類は、CVE-2026-0322の根本にあるコードインジェクションと似ています。ただし、両者の識別子、影響範囲、悪用状況は別々に扱う必要があります。
Palo Alto Networksは、CVE-2026-0330の対象となるエンドポイントや入力パラメーター、詳しい実行の仕組みを明らかにしていません。この問題は、社内の研究者であるDaniel Voce氏が発見し、報告しました。
CVSS 4.0のベーススコアは8.6、脅威を加味したCVSS-BTスコアは6.1です。公表されたベクターでは、ネットワーク経由で到達可能、攻撃の複雑さは低く、必要な権限は高く、ユーザー操作や追加の攻撃条件は不要とされています。
影響を受けるシステムでは、機密性、完全性、可用性への影響がいずれも高いと評価されました。後続システムへの影響は想定されていません。
過去のPAN-OSの問題でもrootレベルのコマンド実行が可能でしたが、これらの公表内容から、攻撃チェーンや根本原因が共通しているとは判断できません。Palo Alto Networksは、今回公表したPanoramaの問題が悪意を持って悪用された事例は確認していないとしています。
特別な設定がなくても影響を受けますが、対象製品はPAN-OS 12.2、12.1、11.2、11.1、10.2のPanoramaに限られます。単体のPAN-OSファイアウォール、Cloud NGFW、Prisma Accessは影響を受けません。
管理者は、今回のネットワーク経由で悪用できる問題を、管理用CLIへのアクセスが必要だった過去のOSコマンドインジェクションとは区別して捉える必要があります。PAN-OS 12.2の修正版は、12.2.4-h2以降です。
PAN-OS 12.1の修正版には、使用中のメンテナンスラインに応じて、12.1.4-h14、12.1.7-h12、12.1.10-h4があります。
PAN-OS 11.2では、パッチ適用済みのメンテナンスリリースとして11.2.4-h24、11.2.7-h24、11.2.10-h18、11.2.13-h5、11.2.16-h2が提供されています。PAN-OS 11.1の修正版は、11.1.4-h39、11.1.6-h41、11.1.7-h13、11.1.10-h37、11.1.13-h17、11.1.16-h5です。PAN-OS 10.2の修正版には、10.2.7-h40、10.2.10-h43、10.2.13-h28、10.2.16-h13、10.2.18-h14があります。
利用者は、これらのホットフィックス番号がメンテナンスブランチをまたいで互換性を持つとは考えず、導入済みのリリースに合ったサポート対象のアップグレード経路を選択する必要があります。サポート対象外の古いソフトウェアを使っている場合は、修正済みのサポート対象バージョンへの移行が必要です。
この問題を解消する既知の回避策はありません。Palo Alto Networksは、管理インターフェースへのアクセスを信頼できる内部IPアドレスに限定するよう推奨しています。できれば、専用のジャンプボックス経由に限るのが望ましいとしています。
こうした対策は、リスクを低減したり、限定的な検査範囲を確保したりするものにすぎません。Panoramaの該当するセキュリティアップデートを適用する代わりにはなりません。
16,000以上のSOCチームが、ANY.RUNで脅威調査を効率化し、手作業を減らしています。チームで試してみる
翻訳元: https://cyberpress.org/palo-alto-networks-patches-panorama-rce-flaw/
