Ontem a Palo Alto Networks publicou 12 boletins de segurança. O destaque é o CVE-2026-0322, uma vulnerabilidade de execução remota de código (RCE) na interface de gerenciamento do PAN-OS. Ela permite que um atacante autenticado execute código arbitrário com privilégios de root em firewalls PA-Series, VM-Series e no Panorama. O fabricante confirmou exploração ativa, ainda que muito limitada, e classificou a urgência como HIGHEST. A CISA incluiu a falha no catálogo KEV no mesmo dia, com prazo de correção para agências federais americanas em 17/10/2026.
Não há workaround. A correção é a atualização do PAN-OS, e as mesmas versões corrigidas resolvem as sete vulnerabilidades de PAN-OS do lote. Como a exploração exige credenciais administrativas, a resposta deve ir além do patch: inclui revisão de contas, rotação de credenciais e busca pelos indicadores de comprometimento (IoCs) divulgados.
CVE-2026-0322: ficha técnica
CVE
CVE-2026-0322: PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface
Severidade
HIGH, CVSS 4.0 8.6 (vetor abaixo)
Urgência (fabricante)
HIGHEST
Fraqueza
CWE-94: Improper Control of Generation of Code (Code Injection)
Exploração
Exploração ativa, muito limitada, confirmada pelo fabricante (Exploit Maturity: ATTACKED)
CISA KEV
Incluída em 14/10/2026, com prazo (BOD 22-01) em 17/10/2026
Pré-requisitos
Credenciais com privilégio alto e acesso de rede à interface de gerenciamento. Nenhuma configuração especial é necessária.
Afetados
PAN-OS em PA-Series, VM-Series e Panorama (virtual e M-Series)
Não afetados
Cloud NGFW e Prisma Access
Workaround
Não existe
Descoberta
Interna, por Suraj Siddharudh (Palo Alto Networks)
EPSS / PoC público
Consulte o FIRST EPSS e suas fontes de inteligência. O EPSS costuma levar alguns dias para pontuar CVEs recentes.
Consulte a tabela completa no APÊNDICE, no final desse documento.
Descrição técnica
A falha é uma injeção de código na interface de gerenciamento do PAN-OS. Um atacante que já possua credenciais administrativas válidas e alcance a interface pela rede pode executar código arbitrário como root, o que equivale ao controle total do dispositivo. Isso abre caminho para alterar políticas, extrair configurações e credenciais, instalar persistência e pivotar para a rede interna.
O pré-requisito de autenticação reduz a superfície de ataque, mas não deve ser lido como fator tranquilizador. Se há exploração ativa, os atacantes estão obtendo credenciais administrativas de alguma forma: phishing, reuso de senhas, senhas padrão, vazamentos ou o comprometimento prévio de outro sistema. O risco é maior quando a interface de gerenciamento está acessível a partir da internet. Segundo o fabricante, ele pode ser reduzido limitando o acesso a um jump box que seja o único sistema autorizado.
Mitigação parcial (Threat Prevention)
Clientes com assinatura Threat Prevention têm cobertura limitada pelos Threat IDs 510046 e 510047 (Applications and Threats content 9159-10287 ou posterior). Para que as assinaturas atuem, o tráfego da porta MGT precisa ser roteado por uma porta de dataplane, com inspeção de ameaças habilitada e decriptação SSL do tráfego de gerenciamento. “Cobertura limitada” significa que variações do ataque podem não ser detectadas. Por isso, a assinatura não substitui o patch.
Indicadores de comprometimento (IoCs)
O fabricante associou os seguintes endereços IP a tentativas de exploração. Busque-os nos logs de acesso à interface de gerenciamento, de firewall de perímetro e de SIEM:
Tipo
Indicador
IPv4
66[.]42[.]72[.]14
IPv4
208[.]83[.]239[.]114
IPv4
149[.]248[.]47[.]234
Ações recomendadas
Imediato (próximas 24 horas)
Inventariar todos os firewalls PA-Series, VM-Series e appliances Panorama, registrando a versão exata do PAN-OS.
Verificar se alguma interface de gerenciamento (MGT ou perfil de gerenciamento em interface de dataplane) é alcançável da internet ou de redes não confiáveis. Bloquear esse acesso imediatamente.
Pesquisar os três IoCs nos logs disponíveis, retroativamente.
Revisar contas administrativas (locais e via RADIUS/LDAP/SAML), sessões ativas, logins recentes e alterações de configuração não explicadas.
Curto prazo (até 17/10/2026)
Atualizar o PAN-OS para a versão corrigida do seu ramo, priorizando dispositivos com gerenciamento exposto ou de acesso amplo.
Rotacionar credenciais administrativas e chaves de API, especialmente se houver indício de exposição ou reuso de senha.
Exigir MFA para todo acesso administrativo e eliminar contas genéricas ou compartilhadas.
Se houver indício de comprometimento, tratar o dispositivo como incidente: preservar logs, gerar tech support file e acionar o suporte da Palo Alto antes de reimagem.
Contínuo
Manter a interface de gerenciamento permanentemente fora da internet. Este é o terceiro problema de PAN-OS com exploração ativa em 2026, e todos envolveram serviços acessíveis pela rede.
Avaliar a habilitação dos Threat IDs 510046/510047 como camada adicional de detecção.
Monitorar logins administrativos fora do padrão (horário, origem, volume).
Demais vulnerabilidades do lote de 14/10/2026
Nenhuma das demais vulnerabilidades tinha exploração conhecida na data de publicação. As falhas de PAN-OS (0316 a 0321) são corrigidas pelas mesmas versões indicadas para o CVE-2026-0322: uma única atualização resolve as sete.
Merece atenção o CVE-2026-0321. Ele permite que um atacante não autenticado cause negação de serviço enviando tráfego especialmente criado para ou através de uma interface de dataplane. Tentativas repetidas levam o firewall ao modo de manutenção, o que, num equipamento de perímetro, significa indisponibilidade de rede. Não há workaround. O Threat ID 510038 (content 9158-10284 ou posterior, com decriptação SSL) oferece cobertura limitada.
(¹) Também afeta o Prisma Access 12.1, 11.2 e 10.2 (corrigido em 12.1.7-h8, 11.2.7-h21 e 10.2.10-h41). O fabricante atualizará os clientes no próximo ciclo de manutenção. Quem precisar antes deve solicitar janela ao suporte.
(²) Afeta apenas o Panorama, nos ramos 12.2, 12.1, 11.2 e 11.1 (10.2 não afetado). No ramo 11.2, a versão de linha principal corrigida é a 11.2.15.
(³) Afeta apenas 12.2, 12.1, 11.2 e 11.1. Corrigido em 12.2.4, 12.1.10-h2, 11.2.16 e 11.1.16-h3.
Builds completos do GlobalProtect: 6.3.3-h16 = 6.3.3-1199; 6.2.8-h15 = 6.2.8-1084.
Contexto: PAN-OS em 2026
Observamos um padrão: serviços de gerenciamento e portais de firewall expostos à internet seguem como alvo recorrente. Restringir esse acesso é a medida de maior retorno, independentemente do CVE da vez.
O CVE-2026-0322 é a terceira falha de PAN-OS com exploração ativa no ano. Antes dele vieram o CVE-2026-0300 (maio, buffer overflow no User-ID Authentication Portal, RCE como root sem autenticação, CVSS 9.3) e o CVE-2026-0257 (maio, bypass de autenticação no GlobalProtect), ambos incluídos no KEV. Em setembro, o CVE-2026-0310 (buffer overflow via processamento XML, CVSS 7.2) não teve exploração conhecida, mas também afetava a interface de gerenciamento. Ambientes que não aplicaram as correções de setembro devem tratar a atualização atual como prioritária, pois as versões novas cobrem as falhas anteriores.
(*) O fabricante anunciou a versão 11.2.16 com disponibilidade prevista para 15/10/2026. Confirme no portal de suporte antes de planejar a janela. Enquanto ela não estiver disponível, use o hotfix correspondente ao seu sub-ramo indicado na tabela.
Adriano Cansian Adriano Mauro Cansian, Doutor em Física Computacional e Professor Associado e pesquisador da UNESP - Universidade Estadual Paulista, possui 30 anos de experiência em pesquisa, desenvolvimento e ensino de segurança cibernética. Fundador e coordenador do Laboratório ACME! Cybersecurity Research, e revisor das revistas "Computers & Security" e "International Journal of Forensic Computer Science", consultor e membro de vários comitês e organizações técnicas para promover a pesquisa em segurança da informação, além de atuar como voluntário em organizações de governança da Internet.
