Le 14 octobre 2026, Palo Alto Networks a publié un correctif pour CVE-2026-0322, une faille de l’interface de gestion de PAN-OS qui permet d’exécuter du code avec les droits root sur le pare-feu. L’éditeur a observé une « exploitation très limitée » et lui attribue l’urgence la plus haute. La CISA l’a inscrite à son catalogue des vulnérabilités exploitées le jour même. Condition importante : l’attaquant doit déjà disposer d’identifiants d’administration et d’un accès réseau à l’interface de gestion.
Ce qui est touché
PAN-OS est le système des pare-feu Palo Alto. Sont concernés :
- les pare-feu physiques PA-Series et virtuels VM-Series ;
- les consoles de gestion Panorama (virtuelles et M-Series).
Cloud NGFW et Prisma Access ne sont pas touchés. Aucune configuration particulière n’est nécessaire pour être vulnérable.
Gravité et exploitation
| Élément | Valeur |
|---|---|
| Nature | Injection de code (CWE-94) |
| Score CVSS 4.0 | 8,6 avec accès depuis Internet ; 8,5 si l’interface n’est joignable que depuis le réseau local |
| Privilèges requis | Élevés (compte d’administration) |
| Urgence suggérée par l’éditeur | La plus haute |
| Exploitation | « Très limitée », observée contre l’interface de gestion |
| Découverte | En interne chez Palo Alto Networks |
Que la faille exige un compte administrateur ne la rend pas anodine. Des identifiants d’administration peuvent avoir été volés lors d’une précédente intrusion, réutilisés depuis un autre service, ou obtenus par hameçonnage. Une fois root sur le pare-feu, un attaquant contrôle l’équipement qui filtre tout le trafic de l’entreprise.
Versions corrigées
Pour chaque branche, la version minimale à installer :
| Branche | Versions corrigées |
|---|---|
| PAN-OS 12.2 | 12.2.4 et ultérieures |
| PAN-OS 12.1 | 12.1.4-h12, 12.1.7-h8 ou 12.1.10-h2 |
| PAN-OS 11.2 | 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 ou 11.2.16 |
| PAN-OS 11.1 | 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 ou 11.1.16-h3 |
| PAN-OS 10.2 | 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 ou 10.2.18-h12 |
Le correctif intermédiaire (hotfix) à installer dépend de la version mineure de départ : l’avis de Palo Alto donne la correspondance exacte. Les versions de PAN-OS qui ne sont plus maintenues ne recevront pas de correctif : il faut passer à une version supportée.
Pas de contournement, une protection partielle
Palo Alto indique qu’aucun contournement n’existe. Les abonnés Threat Prevention disposent d’une couverture « limitée » via les signatures 510046 et 510047 (contenu 9159-10287 et ultérieur), mais seulement si le trafic de gestion passe par une interface de données, avec déchiffrement SSL et inspection activés. Pour la plupart des PME, ce n’est pas une configuration réaliste à court terme : la mise à jour reste la vraie solution.
Quoi faire concrètement
- Vérifiez d’où l’interface de gestion est joignable. L’éditeur rappelle que le risque est le plus élevé quand elle est accessible depuis Internet. Elle doit être réservée à quelques adresses internes de confiance, idéalement à un poste de rebond (jump box) unique.
- Mettez à jour vers la version corrigée de votre branche, en commençant par les équipements dont l’interface de gestion est la plus exposée, puis Panorama.
- Faites le ménage dans les comptes d’administration : supprimez les comptes inutilisés, imposez des mots de passe uniques et l’authentification multifacteur, et changez les mots de passe s’il existe le moindre doute sur une fuite.
- Relisez les journaux d’administration (connexions, modifications de configuration) à la recherche d’accès depuis des adresses inattendues ou à des heures inhabituelles. BleepingComputer a relayé trois adresses IP associées aux attaques : 66.42.72.14, 208.83.239.114 et 149.248.47.234.
- Testez la force des mots de passe des comptes d’administration avec notre vérificateur de mot de passe, qui fonctionne entièrement dans le navigateur.
Si vous gérez plusieurs sites, notre calculateur de sous-réseau IP aide à définir des plages d’administration autorisées précises plutôt que des réseaux entiers.
Ce qu’il faut retenir
Les interfaces d’administration des pare-feu ont été la cible de nombreuses attaques ces dernières années, chez tous les éditeurs. La règle ne change pas : une interface de gestion ne doit jamais être exposée sur Internet, et les comptes qui y donnent accès doivent être traités comme les plus sensibles de l’entreprise.
Sources
- Palo Alto Networks, « CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface », 14 octobre 2026, mis à jour le 15 octobre 2026 : https://security.paloaltonetworks.com/CVE-2026-0322
- CISA, Known Exploited Vulnerabilities Catalog, entrée CVE-2026-0322 ajoutée le 14 octobre 2026 : https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- BleepingComputer, « Palo Alto Networks warns of PAN-OS RCE flaw exploited in attacks », 14 octobre 2026 : https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-pan-os-rce-flaw-exploited-in-attacks/
