Palo Alto Networks heeft een kwetsbaarheid in PAN-OS verholpen die al actief wordt misbruikt. Het gaat om CVE-2026-0322, een fout in de managementinterface waarmee een geauthenticeerde aanvaller met netwerktoegang willekeurige code kan uitvoeren met root-rechten, op PA-Series- en VM-Series-firewalls en op Panorama, zowel de virtuele als de M-Series-appliance. Cloud NGFW en Prisma Access zijn niet getroffen.
De kwetsbaarheid valt onder CWE-94, code-injectie, en krijgt een CVSS 4.0-score van 8,6. Palo Alto Networks ontdekte het probleem zelf, via senior principal product security researcher Suraj Siddharudh, en meldt voorlopig “zeer beperkte exploitatie” tegen de managementinterface. Welke aanvaller erachter zit en of firewalls daadwerkelijk zijn overgenomen, maakt het bedrijf niet bekend. Wel zijn drie IP-adressen gezien die bij de aanvallen horen: 66.42.72[.]14, 208.83.239[.]114 en 149.248.47[.]234.
Kwetsbaar zijn de releaselijnen PAN-OS 10.2, 11.1, 11.2, 12.1 en 12.2 met een hotfix ouder dan de nieuwste patch. Voor elke lijn bracht Palo Alto Networks een fix uit: 10.2.18-h12, 11.1.16-h3, 12.1.10-h2 en 12.2.4. Voor 11.2 geldt 11.2.13-h3 als ondergrens, met 11.2.16 als volledige fix. Oudere, niet meer ondersteunde versies krijgen geen patch; daarvoor is upgraden naar een ondersteunde release de enige optie.
Een workaround bestaat niet, zegt Palo Alto Networks: de enige blijvende oplossing is patchen. Tot die tijd helpt het om de managementinterface alleen bereikbaar te maken vanaf een vertrouwd intern netwerk of een jump box, wat het risico volgens de eigen scoring al verlaagt naar 8,5. Klanten met een Threat Prevention-abonnement kunnen signatures 510046 en 510047 inschakelen, maar dat vereist SSL-decryptie van het managementverkeer en vangt mogelijk niet alle varianten. CISA heeft de kwetsbaarheid aan de Known Exploited Vulnerabilities-catalogus toegevoegd, met een deadline van 17 oktober voor Amerikaanse overheidsinstanties.
PAN-OS draait op een van de meest gebruikte firewallmerken bij Nederlandse bedrijven en overheidsinstellingen, vaak met een managementinterface die alleen voor intern gebruik is bedoeld maar in de praktijk soms per ongeluk vanaf internet bereikbaar blijkt. Controleer eerst of die interface uitsluitend vanaf vertrouwde IP-adressen te benaderen is, werk daarna bij naar de patch voor de eigen PAN-OS-lijn en loop bij twijfel de logs van de afgelopen weken na op ongebruikelijke aanmeldingen op de managementinterface.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt uw organisatie PAN-OS-firewalls of Panorama met een managementinterface die vanaf een extern of onvertrouwd netwerk bereikbaar is? Beperk die toegang direct tot vertrouwde IP-adressen en installeer de hotfix voor uw versielijn: 10.2.18-h12, 11.1.16-h3, 11.2.13-h3 of hoger, 12.1.10-h2, of 12.2.4.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.