[ Início ]

Ontem a Palo Alto Networks publicou 12 boletins de segurança. O destaque é o CVE-2026-0322, uma vulnerabilidade de execução remota de código (RCE) na interface de gerenciamento do PAN-OS. Ela permite que um atacante autenticado execute código arbitrário com privilégios de root em firewalls PA-Series, VM-Series e no Panorama. O fabricante confirmou exploração ativa, ainda que muito limitada, e classificou a urgência como HIGHEST. A CISA incluiu a falha no catálogo KEV no mesmo dia, com prazo de correção para agências federais americanas em 17/10/2026. Não há workaround. A correção é a atualização do PAN-OS, e as mesmas versões corrigidas resolvem as sete vulnerabilidades de PAN-OS do lote. Como a exploração exige credenciais administrativas, a resposta deve ir além do patch: inclui revisão de contas, rotação de credenciais e busca pelos indicadores de comprometimento (IoCs) divulgados.

---

CVE-2026-0322: ficha técnica

CVE	CVE-2026-0322: PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface
Severidade	HIGH, CVSS 4.0 8.6 (vetor abaixo)
Urgência (fabricante)	HIGHEST
Fraqueza	CWE-94: Improper Control of Generation of Code (Code Injection)
Exploração	Exploração ativa, muito limitada, confirmada pelo fabricante (Exploit Maturity: ATTACKED)
CISA KEV	Incluída em 14/10/2026, com prazo (BOD 22-01) em 17/10/2026
Pré-requisitos	Credenciais com privilégio alto e acesso de rede à interface de gerenciamento. Nenhuma configuração especial é necessária.
Afetados	PAN-OS em PA-Series, VM-Series e Panorama (virtual e M-Series)
Não afetados	Cloud NGFW e Prisma Access
Workaround	Não existe
Descoberta	Interna, por Suraj Siddharudh (Palo Alto Networks)
EPSS / PoC público	Consulte o FIRST EPSS e suas fontes de inteligência. O EPSS costuma levar alguns dias para pontuar CVEs recentes.

Vetor CVSS 4.0: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V:D/RE:M/U:Red

Versões afetadas e correções

Consulte a tabela completa no APÊNDICE, no final desse documento.

Descrição técnica

A falha é uma injeção de código na interface de gerenciamento do PAN-OS. Um atacante que já possua credenciais administrativas válidas e alcance a interface pela rede pode executar código arbitrário como root, o que equivale ao controle total do dispositivo. Isso abre caminho para alterar políticas, extrair configurações e credenciais, instalar persistência e pivotar para a rede interna. O pré-requisito de autenticação reduz a superfície de ataque, mas não deve ser lido como fator tranquilizador. Se há exploração ativa, os atacantes estão obtendo credenciais administrativas de alguma forma: phishing, reuso de senhas, senhas padrão, vazamentos ou o comprometimento prévio de outro sistema. O risco é maior quando a interface de gerenciamento está acessível a partir da internet. Segundo o fabricante, ele pode ser reduzido limitando o acesso a um jump box que seja o único sistema autorizado.

Mitigação parcial (Threat Prevention)

Clientes com assinatura Threat Prevention têm cobertura limitada pelos Threat IDs 510046 e 510047 (Applications and Threats content 9159-10287 ou posterior). Para que as assinaturas atuem, o tráfego da porta MGT precisa ser roteado por uma porta de dataplane, com inspeção de ameaças habilitada e decriptação SSL do tráfego de gerenciamento. “Cobertura limitada” significa que variações do ataque podem não ser detectadas. Por isso, a assinatura não substitui o patch.

Indicadores de comprometimento (IoCs)

O fabricante associou os seguintes endereços IP a tentativas de exploração. Busque-os nos logs de acesso à interface de gerenciamento, de firewall de perímetro e de SIEM:

Tipo	Indicador
IPv4	66[.]42[.]72[.]14
IPv4	208[.]83[.]239[.]114
IPv4	149[.]248[.]47[.]234

---

Ações recomendadas

Imediato (próximas 24 horas)

• • Inventariar todos os firewalls PA-Series, VM-Series e appliances Panorama, registrando a versão exata do PAN-OS.

• • Verificar se alguma interface de gerenciamento (MGT ou perfil de gerenciamento em interface de dataplane) é alcançável da internet ou de redes não confiáveis. Bloquear esse acesso imediatamente.

• • Restringir o gerenciamento a IPs internos confiáveis ou a um jump box dedicado, conforme o guia de boas práticas do fabricante.

• • Pesquisar os três IoCs nos logs disponíveis, retroativamente.

• • Revisar contas administrativas (locais e via RADIUS/LDAP/SAML), sessões ativas, logins recentes e alterações de configuração não explicadas.

Curto prazo (até 17/10/2026)

• • Atualizar o PAN-OS para a versão corrigida do seu ramo, priorizando dispositivos com gerenciamento exposto ou de acesso amplo.

• • Rotacionar credenciais administrativas e chaves de API, especialmente se houver indício de exposição ou reuso de senha.

• • Exigir MFA para todo acesso administrativo e eliminar contas genéricas ou compartilhadas.

• • Se houver indício de comprometimento, tratar o dispositivo como incidente: preservar logs, gerar tech support file e acionar o suporte da Palo Alto antes de reimagem.

Contínuo

• • Manter a interface de gerenciamento permanentemente fora da internet. Este é o terceiro problema de PAN-OS com exploração ativa em 2026, e todos envolveram serviços acessíveis pela rede.

• • Avaliar a habilitação dos Threat IDs 510046/510047 como camada adicional de detecção.

• • Monitorar logins administrativos fora do padrão (horário, origem, volume).

---

Demais vulnerabilidades do lote de 14/10/2026

Nenhuma das demais vulnerabilidades tinha exploração conhecida na data de publicação. As falhas de PAN-OS (0316 a 0321) são corrigidas pelas mesmas versões indicadas para o CVE-2026-0322: uma única atualização resolve as sete. Merece atenção o CVE-2026-0321. Ele permite que um atacante não autenticado cause negação de serviço enviando tráfego especialmente criado para ou através de uma interface de dataplane. Tentativas repetidas levam o firewall ao modo de manutenção, o que, num equipamento de perímetro, significa indisponibilidade de rede. Não há workaround. O Threat ID 510038 (content 9158-10284 ou posterior, com decriptação SSL) oferece cobertura limitada.

PAN-OS, Panorama e Prisma Access

CVE	Vulnerabilidade	CVSS 4.0	Correção
CVE-2026-0321	DoS em serviços de rede (não autenticado)	6.6	Mesmas do 0322 (¹)
CVE-2026-0320	Command injection por administrador autenticado	6.1	Mesmas do 0322
CVE-2026-0319	Tratamento impróprio de entrada	4.9	Mesmas do 0322 (¹)
CVE-2026-0318	DoS no Panorama	4.6	Mesmas do 0322 (²)
CVE-2026-0317	Negação de serviço	1.2	Ver (³)
CVE-2026-0316	XSS armazenado	1.1	Ver (³)

(¹) Também afeta o Prisma Access 12.1, 11.2 e 10.2 (corrigido em 12.1.7-h8, 11.2.7-h21 e 10.2.10-h41). O fabricante atualizará os clientes no próximo ciclo de manutenção. Quem precisar antes deve solicitar janela ao suporte. (²) Afeta apenas o Panorama, nos ramos 12.2, 12.1, 11.2 e 11.1 (10.2 não afetado). No ramo 11.2, a versão de linha principal corrigida é a 11.2.15. (³) Afeta apenas 12.2, 12.1, 11.2 e 11.1. Corrigido em 12.2.4, 12.1.10-h2, 11.2.16 e 11.1.16-h3.

Outros produtos

CVE	Produto	Vulnerabilidade	CVSS 4.0	Correção
PAN-SA-2026-0013	Prisma Browser	Atualização de Chromium (out/2026)	7.7	155.16.5.40+
CVE-2026-0313	Cortex XSOAR / XSIAM (OS Query)	OS command injection	6.1	1.0.17+
CVE-2026-0315	GlobalProtect (macOS)	Escalonamento local de privilégios	5.9	6.3.3-h16, 6.2.8-h15
CVE-2026-0314	GlobalProtect (Windows)	DoS local	4.3	6.3.3-h16, 6.2.8-h15, 6.0.15
CVE-2026-0312	Checkov	Path traversal	4.3	3.3.25+
CVE-2026-0311	Checkov	Server-Side Request Forgery (SSRF)	1.1	3.2.533+

Builds completos do GlobalProtect: 6.3.3-h16 = 6.3.3-1199; 6.2.8-h15 = 6.2.8-1084.

Contexto: PAN-OS em 2026

Observamos um padrão: serviços de gerenciamento e portais de firewall expostos à internet seguem como alvo recorrente. Restringir esse acesso é a medida de maior retorno, independentemente do CVE da vez. O CVE-2026-0322 é a terceira falha de PAN-OS com exploração ativa no ano. Antes dele vieram o CVE-2026-0300 (maio, buffer overflow no User-ID Authentication Portal, RCE como root sem autenticação, CVSS 9.3) e o CVE-2026-0257 (maio, bypass de autenticação no GlobalProtect), ambos incluídos no KEV. Em setembro, o CVE-2026-0310 (buffer overflow via processamento XML, CVSS 7.2) não teve exploração conhecida, mas também afetava a interface de gerenciamento. Ambientes que não aplicaram as correções de setembro devem tratar a atualização atual como prioritária, pois as versões novas cobrem as falhas anteriores.  

---

Referências

• • Palo Alto Networks: CVE-2026-0322 PAN-OS: Authenticated RCE in the Management Interface

• • Palo Alto Networks: CVE-2026-0321 PAN-OS: DoS Vulnerabilities in Network Services

• • Palo Alto Networks: Security Advisories (índice completo)

---

APÊNDICE: Versões afetadas e correções

Ramo	Versão instalada	Atualize para
PAN-OS 12.2	12.2.0 a 12.2.3	12.2.4 ou posterior
PAN-OS 12.1	12.1.8 a 12.1.10-h*	12.1.10-h2 ou posterior
PAN-OS 12.1	12.1.5 a 12.1.7-h*	12.1.7-h8 ou 12.1.10-h2+
PAN-OS 12.1	12.1.2 a 12.1.4-h*	12.1.4-h12 ou 12.1.10-h2+
PAN-OS 11.2	11.2.14 a 11.2.15	11.2.16 ou posterior (*)
PAN-OS 11.2	11.2.11 a 11.2.13-h*	11.2.13-h3 ou 11.2.16+
PAN-OS 11.2	11.2.8 a 11.2.10-h*	11.2.10-h15 ou 11.2.16+
PAN-OS 11.2	11.2.5 a 11.2.7-h*	11.2.7-h21 ou 11.2.16+
PAN-OS 11.2	11.2.0 a 11.2.4-h*	11.2.4-h22 ou 11.2.16+
PAN-OS 11.1	11.1.14 a 11.1.16-h*	11.1.16-h3 ou posterior
PAN-OS 11.1	11.1.11 a 11.1.13-h*	11.1.13-h15 ou 11.1.16-h3+
PAN-OS 11.1	11.1.8 a 11.1.10-h*	11.1.10-h35 ou 11.1.16-h3+
PAN-OS 11.1	11.1.7 a 11.1.7-h*	11.1.7-h11 ou 11.1.16-h3+
PAN-OS 11.1	11.1.5 a 11.1.6-h*	11.1.6-h39 ou 11.1.16-h3+
PAN-OS 11.1	11.1.0 a 11.1.4-h*	11.1.4-h37 ou 11.1.16-h3+
PAN-OS 10.2	10.2.17 a 10.2.18-h*	10.2.18-h12 ou posterior
PAN-OS 10.2	10.2.14 a 10.2.16-h*	10.2.16-h11 ou 10.2.18-h12+
PAN-OS 10.2	10.2.11 a 10.2.13-h*	10.2.13-h26 ou 10.2.18-h12+
PAN-OS 10.2	10.2.8 a 10.2.10-h*	10.2.10-h41 ou 10.2.18-h12+
PAN-OS 10.2	10.2.0 a 10.2.7-h*	10.2.7-h38 ou 10.2.18-h12+
Sem suporte	Todas	Migrar para versão suportada e corrigida

(*) O fabricante anunciou a versão 11.2.16 com disponibilidade prevista para 15/10/2026. Confirme no portal de suporte antes de planejar a janela. Enquanto ela não estiver disponível, use o hotfix correspondente ao seu sub-ramo indicado na tabela.