Palo Alto Networks PAN-OS : exécution de code via l'interface d'administration, exploitation limitée

En bref

• Le fait. Le 14 octobre 2026, Palo Alto Networks a publié un avis sur CVE-2026-0322, une faille de l'interface d'administration de PAN-OS, le système de ses pare-feu. Un attaquant authentifié ayant accès à cette interface peut exécuter du code avec les droits root. L'éditeur indique une exploitation très limitée. La CISA l'a ajoutée au catalogue KEV le jour même, et le CERT-FR la cite dans l'avis CERTFR-2026-AVI-1326. Source : avis Palo Alto Networks.
• Êtes-vous concerné ? Si votre entreprise utilise un pare-feu Palo Alto Networks (séries PA ou VM) ou Panorama, en particulier si l'interface d'administration est joignable depuis Internet ou un réseau peu sûr. Cloud NGFW et Prisma Access ne sont pas concernés selon l'éditeur.
• Quoi faire :
  1. faites mettre à jour PAN-OS vers la version corrigée de votre branche ;
  2. faites limiter l'accès à l'interface d'administration aux seules adresses internes de confiance, comme le recommande l'éditeur ;
  3. faites vérifier les comptes administrateur et renouveler leurs mots de passe.
• Urgence : élevée si l'interface d'administration est exposée, modérée sinon : la faille demande un accès authentifié à cette interface.

Détail technique

Identifiants. CVE-2026-0322 : injection de code (CWE-94) dans l'interface d'administration, exploitable par un attaquant authentifié disposant d'un accès réseau à cette interface. Avis CERT-FR : CERTFR-2026-AVI-1326. Le CERT-FR mentionne 11.1.10-h41 pour la branche 11.1 dans son avis couvrant plusieurs CVE, alors que l'avis de l'éditeur pour cette CVE indique 11.1.10-h35 : le billet reprend les versions de l'éditeur.

Produits et versions.

• PAN-OS 12.2 : versions affectées 12.2.0 à 12.2.4 exclue ; version corrigée : 12.2.4 ou ultérieure.
• PAN-OS 12.1 : versions affectées 12.1.x antérieures aux correctifs ; version corrigée : 12.1.4-h12, 12.1.7-h8, 12.1.10-h2 ou ultérieures.
• PAN-OS 11.2 : versions affectées 11.2.x antérieures aux correctifs ; version corrigée : 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16 ou ultérieures.
• PAN-OS 11.1 : versions affectées 11.1.x antérieures aux correctifs ; version corrigée : 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3 ou ultérieures.
• PAN-OS 10.2 : versions affectées 10.2.x antérieures aux correctifs ; version corrigée : 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12 ou ultérieures.

KEV. Oui : ajoutée au catalogue KEV de la CISA le 14 octobre 2026.

Exploitation active. Oui : l'éditeur fait état d'une exploitation très limitée ciblant l'interface d'administration.

IOC publics. Palo Alto Networks publie, dans la FAQ de son avis, des adresses IP associées à l'activité malveillante. Nous ne les recopions pas : reportez-vous à l'avis Palo Alto Networks.

Remédiation.

• Mettre à jour PAN-OS vers une version corrigée de la branche utilisée (liste ci-dessus).
• Restreindre l'accès à l'interface d'administration aux adresses IP internes de confiance.
• Les clients disposant de l'abonnement Threat Prevention peuvent activer les signatures Threat ID 510046 et 510047, qui offrent selon l'éditeur une protection partielle sous conditions de configuration.