Palo Alto PAN-OS : la faille CVE-2026-0322 exploitée pour obtenir les droits root

Palo Alto Networks a révélé le 14 octobre 2026 la faille CVE-2026-0322, qui touche le logiciel de pare-feu PAN-OS et que des attaquants exploitent déjà. Elle permet à un attaquant capable de se connecter à l'interface de gestion du pare-feu d'exécuter n'importe quel code en tant que root, le compte administrateur tout-puissant de l'appareil. La Cybersecurity and Infrastructure Security Agency (CISA) américaine a donné aux agences fédérales jusqu'au 17 octobre pour la corriger. Toutes les équipes qui utilisent ces pare-feu devraient vérifier leur version dès aujourd'hui.

PAN-OS est le système d'exploitation des pare-feu de Palo Alto, les équipements réseau qui protègent la bordure de nombreux réseaux d'entreprise. L'interface de gestion est la page web et le service que les administrateurs utilisent pour les configurer.

Ce que fait la faille

Il s'agit d'une faille d'injection de code, selon l'avis de Palo Alto. Dans une injection de code, un attaquant glisse ses propres commandes dans des données que le logiciel exécute ensuite. La faille « permet à un attaquant authentifié disposant d'un accès réseau d'exécuter du code arbitraire avec les privilèges root sur le pare-feu », indique l'avis.

Elle est notée 8,6 sur 10 au CVSS 4.0, l'échelle de gravité courante, ce qui correspond à une gravité élevée. L'attaquant a besoin d'un identifiant valide. Ce n'est donc pas une porte ouverte à n'importe qui sur internet. BleepingComputer indique que les attaquants ont besoin d'identifiants existants et d'un accès réseau à l'interface de gestion. L'éditeur ajoute qu'« aucune configuration particulière n'est nécessaire pour être concerné par ce problème ».

« Une exploitation très limitée a été observée, visant l'interface de gestion de Palo Alto Networks », indique l'avis. Palo Alto a communiqué trois adresses IP liées aux attaques, rapporte BleepingComputer. Personne n'a nommé les attaquants, ni dit quand les attaques ont commencé, ni combien de clients ont été touchés.

Les produits concernés

Sont concernés les pare-feu PA-Series et VM-Series, ainsi que les appliances Panorama virtuelles et M-Series. Panorama est l'outil qui gère de nombreux pare-feu à la fois. Cloud NGFW et Prisma Access, les services cloud de Palo Alto, ne sont pas concernés.

L'avis liste les versions corrigées ci-dessous. Chaque branche dispose aussi d'options de correctifs à chaud plus anciennes, listées sur la page de l'avis.

Branche PAN-OS	Mettre à jour vers	Anciens correctifs à chaud possibles
12.2	12.2.4 ou ultérieure	aucun listé
12.1	12.1.10-h2	12.1.7-h8, 12.1.4-h12
11.2	11.2.16	11.2.13-h3, 11.2.10-h15, 11.2.7-h21, 11.2.4-h22
11.1	11.1.16-h3	11.1.13-h15, 11.1.10-h35, 11.1.7-h11, 11.1.6-h39, 11.1.4-h37
10.2	10.2.18-h12	10.2.16-h11, 10.2.13-h26, 10.2.10-h41, 10.2.7-h38

La version 11.2.16 a été publiée le 15 octobre. Les anciennes versions qui ne sont plus prises en charge doivent passer à une version corrigée prise en charge, selon l'éditeur.

Aucun contournement, seulement du durcissement

« Il n'existe aucune solution de contournement connue pour ce problème », indique l'avis. Les signatures Threat Prevention portant les Threat ID 510046 et 510047 offrent une protection limitée, et uniquement lorsque le déchiffrement SSL est activé. L'avis suggère aussi ces mesures :

• N'autoriser l'accès à la gestion que depuis des adresses IP internes de confiance, ou depuis un seul serveur de rebond (jump box). Un serveur de rebond est une machine durcie unique, seul système autorisé à atteindre l'interface.
• Faire passer le trafic de gestion par un port de données, en utilisant un profil de gestion sur cette interface.
• Déchiffrer le trafic entrant vers l'interface de gestion et y activer la prévention des menaces.

« Le risque est maximal lorsque vous autorisez l'accès à l'interface de gestion depuis des adresses IP externes sur internet », indique l'avis.

L'échéance de la CISA

La CISA a ajouté la faille à son catalogue Known Exploited Vulnerabilities le 14 octobre, rapporte CSO Online. Ce catalogue recense les failles que des attaquants sont connus pour exploiter. L'agence a fixé une échéance au 17 octobre en vertu de la Binding Operational Directive 26-04. Elle a aussi signalé la faille pour un triage forensique, c'est-à-dire une recherche de traces d'une intrusion passée.

La faille a été découverte en interne chez Palo Alto par Suraj Siddharudh, chercheur principal senior en sécurité des produits. Palo Alto a aussi publié une douzaine d'autres avis environ cette semaine-là, tous de gravité moyenne ou faible, rapporte SecurityWeek. Les équipements de bordure restent des cibles : Tech AI Wire a rapporté une chaîne de failles zero-day dans Ivanti Connect Secure le 15 octobre.

Ce que cela signifie pour les développeurs

• Comparez votre version au tableau. Lancez la vérification de version PAN-OS sur chaque pare-feu et chaque boîtier Panorama. Tout ce qui est en dessous de la version listée pour sa branche doit être mis à jour.
• Retirez l'interface de gestion d'internet. L'éditeur associe le risque le plus élevé à un accès exposé sur internet. Si votre interface est joignable depuis l'extérieur, fermez cet accès en priorité.
• Considérez les connexions administrateur comme la vraie cible. L'attaquant a besoin d'identifiants. Vérifiez qui possède des comptes de gestion, changez leurs mots de passe et exigez un second facteur quand c'est possible.
• Cherchez une intrusion passée, pas seulement le correctif. La CISA a signalé cette faille pour un triage forensique. Le correctif bloque les nouvelles attaques, mais n'expulse pas un intrus déjà entré. Cherchez dans les journaux des connexions depuis les trois adresses IP listées par Palo Alto.
• Ne comptez pas uniquement sur les signatures. Les Threat ID 510046 et 510047 n'aident que si le déchiffrement SSL est activé. Ce sont des solutions provisoires en attendant la mise à jour.