Palo Alto PAN-OS: CVE-2026-0322 é explorada para obter acesso root

A Palo Alto Networks revelou em 14 de outubro de 2026 a CVE-2026-0322, uma falha no software de firewall PAN-OS que invasores já estão usando. Ela permite que um invasor que consiga fazer login na interface de gerenciamento do firewall rode qualquer código como root, a conta de administrador todo-poderosa do dispositivo. A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA deu às agências federais até 17 de outubro para corrigi-la. Toda equipe que opera esses firewalls deve verificar sua versão hoje.

O PAN-OS é o sistema operacional dos firewalls da Palo Alto, os dispositivos de rede que protegem a borda de muitas redes corporativas. A interface de gerenciamento é a página web e o serviço que os administradores usam para configurá-los.

O que a falha faz

O bug é uma falha de injeção de código, diz o alerta da Palo Alto. Injeção de código significa que um invasor insere seus próprios comandos em uma entrada que o software depois executa. A falha "permite que um invasor autenticado com acesso à rede execute código arbitrário com privilégios de root no firewall", diz o alerta.

Ela tem nota 8,6 de 10 no CVSS 4.0, a escala de gravidade mais usada, o que conta como alta. O invasor precisa de um login válido, então esta não é uma porta aberta para qualquer pessoa na internet. O BleepingComputer diz que os invasores precisam de credenciais existentes e de acesso de rede à interface de gerenciamento. O fornecedor acrescenta que "nenhuma configuração especial é necessária para ser afetado por este problema".

"Foi observada uma exploração muito limitada tendo como alvo a interface de gerenciamento da Palo Alto Networks", diz o alerta. A Palo Alto compartilhou três endereços IP ligados aos ataques, informa o BleepingComputer. Ninguém identificou os invasores, nem disse quando os ataques começaram ou quantos clientes foram atingidos.

Quais produtos são afetados

São afetados os firewalls PA-Series e VM-Series, além dos appliances virtuais e M-Series do Panorama. O Panorama é a ferramenta que gerencia muitos firewalls de uma vez. O Cloud NGFW e o Prisma Access, os serviços de nuvem da Palo Alto, não são afetados.

O alerta lista estas versões corrigidas. Cada linha de versões também tem opções de hotfix mais antigas, listadas na página do alerta.

Linha do PAN-OS	Atualize para	Opções de hotfix mais antigas
12.2	12.2.4 ou posterior	nenhuma listada
12.1	12.1.10-h2	12.1.7-h8, 12.1.4-h12
11.2	11.2.16	11.2.13-h3, 11.2.10-h15, 11.2.7-h21, 11.2.4-h22
11.1	11.1.16-h3	11.1.13-h15, 11.1.10-h35, 11.1.7-h11, 11.1.6-h39, 11.1.4-h37
10.2	10.2.18-h12	10.2.16-h11, 10.2.13-h26, 10.2.10-h41, 10.2.7-h38

A versão 11.2.16 foi publicada em 15 de outubro. Versões antigas sem suporte devem passar para uma versão corrigida com suporte, diz o fornecedor.

Sem solução alternativa, só reforço

"Não existem soluções alternativas conhecidas para este problema", afirma o alerta. As assinaturas do Threat Prevention com os Threat IDs 510046 e 510047 dão cobertura limitada, e só quando a descriptografia SSL está ativada. O alerta também sugere estes passos:

• Permita o acesso de gerenciamento só a partir de endereços IP internos confiáveis, ou de um único jump box. Um jump box é uma máquina reforçada que é o único sistema autorizado a acessar a interface.
• Encaminhe o tráfego de gerenciamento por uma porta de dados, usando um perfil de gerenciamento nessa interface.
• Descriptografe o tráfego de entrada para a interface de gerenciamento e ative a prevenção de ameaças para ele.

"O risco é maior quando você permite o acesso à interface de gerenciamento a partir de endereços IP externos na internet", diz o alerta.

O prazo da CISA

A CISA adicionou a falha ao seu catálogo Known Exploited Vulnerabilities em 14 de outubro, informa o CSO Online. O catálogo lista bugs que, sabidamente, estão sendo usados por invasores. A agência definiu o prazo de 17 de outubro com base na Binding Operational Directive 26-04. Ela também marcou a falha para triagem forense, uma verificação de sinais de uma invasão passada.

O bug foi encontrado dentro da Palo Alto por Suraj Siddharudh, pesquisador sênior principal de segurança de produtos. A Palo Alto também publicou cerca de uma dúzia de outros alertas naquela semana, todos classificados como de gravidade média ou baixa, informa o SecurityWeek. Dispositivos de borda continuam atraindo ataques: o Tech AI Wire noticiou uma cadeia de zero-days no Ivanti Connect Secure em 15 de outubro.

O que isso significa para desenvolvedores

• Compare sua versão com a tabela. Rode a verificação de versão do PAN-OS em cada firewall e em cada máquina Panorama. Qualquer coisa abaixo da versão listada para sua linha precisa da atualização.
• Tire a interface de gerenciamento da internet. O fornecedor associa o maior risco ao acesso exposto à internet. Se sua interface pode ser alcançada de fora, feche isso primeiro.
• Trate os logins de administrador como o alvo real. O invasor precisa de credenciais. Revise quem tem contas de gerenciamento, troque as senhas delas e exija um segundo fator onde puder.
• Procure uma invasão passada, não só o patch. A CISA marcou este bug para triagem forense. Aplicar o patch impede novos ataques, mas não remove um invasor que entrou antes. Verifique os logs em busca de logins a partir dos três endereços IP listados pela Palo Alto.
• Não dependa só de assinaturas. Os Threat IDs 510046 e 510047 só ajudam com a descriptografia SSL ativada. Eles são uma solução provisória até a atualização ser feita.