PAN-OS管理インターフェースの脆弱性CVE-2026-0322の悪用
Palo Alto Networksの2026年10月14日のアドバイザリによると、PAN-OSの管理インターフェースに遠隔コード実行の脆弱性CVE-2026-0322があり、ネットワークから到達できる認証済みの攻撃者がファイアウォール上でroot権限の任意のコードを実行できる［1］。同社は、管理インターフェースを狙うごく限られた悪用が観測されたとも記した［1］。
脆弱性の内容
Palo Alto Networksのアドバイザリでは、この脆弱性は社内で発見されたもので、影響を受けるのに特別な設定は要らない［1］。リスクが最も高いのは、インターネット上の外部のIPアドレスから管理インターフェースにアクセスできる場合で、同社はできるだけ早い修正を推奨した［1］。管理インターフェースへのアクセスを、推奨のベストプラクティスに沿って信頼できる内部のIPアドレスだけに制限すれば、リスクは最小になる［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS（Palo Alto Networks） | CVSS 4.0で8.6（HIGH） | ［1］ |
| CVSS（NVD） | CVSS 3.1で7.2 | ［4］ |
| 緊急度（Palo Alto Networks） | HIGHEST | ［1］ |
| 悪用の成熟度（Exploit Maturity） | ATTACKED | ［1］ |
| 攻撃に要する権限（Privileges Required） | HIGH | ［1］ |
| 自動化の可否（Automatable） | NO | ［1］ |
| 弱点の種類 | CWE-94（コードインジェクション）、CAPEC-242 | ［1］ |
| CISAのSSVC | Exploitationはactive、Automatableはno、Technical Impactはtotal | ［3］ |
Palo Alto Networksは、管理インターフェースにアクセスできる唯一のシステムを踏み台（jump box）に限れば悪用のリスクを下げられるとし、その場合のCVSS 4.0の値を8.5とした［1］。
Security NEXTは、Palo Alto Networksが現地時間の10月14日に7件のアドバイザリを公開したと報じた［11］。対処した脆弱性の数も7件である［11］。アドバイザリの重要度は、高が1件、中が4件、低が2件だった［11］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2025年 | - | CVE-2026-0322の番号が予約された | ［3］ |
| 2026年 | Palo Alto Networks | アドバイザリの初版を公開した | ［1］ |
| 2026年 | - | CVEレコードが公開された | ［3］ |
| 2026年 | CISA | KEVカタログに加えた | ［3、4］ |
| 2026年 | Canadian Centre for Cyber Security | AV26-1041を公表した | ［6］ |
| 2026年 | Palo Alto Networks | 11.2.16を公開し〔注1〕、アドバイザリを更新した | ［1］ |
| 2026年 | Canadian Centre for Cyber Security | AV26-1041のUpdate 1で、CISAによるKEVへの追加を記した | ［6］ |
| 2026年 | 日立ソリューションズ | 顧客向けの案内を出した | ［2］ |
| 2026年 | JPCERT/CC | Weekly Reportに掲載した | ［7］ |
対象の製品と版
Palo Alto Networksは、PA-Series・VM-SeriesのファイアウォールとPanorama（仮想版とM-Series）のPAN-OSを対象とし、Cloud NGFWとPrisma Accessは影響を受けないとした［1］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| PAN-OS 12.2 | 修正版より前の版 | 12.2.4 | ［1］ |
| PAN-OS 12.1 | 修正版より前の版 | 12.1.4-h12、12.1.7-h8、12.1.10-h2 | ［1］ |
| PAN-OS 11.2 | 修正版より前の版 | 11.2.4-h22、11.2.7-h21、11.2.10-h15、11.2.13-h3、11.2.16 | ［1］ |
| PAN-OS 11.1 | 修正版より前の版 | 11.1.4-h37、11.1.6-h39、11.1.7-h11、11.1.10-h35、11.1.13-h15、11.1.16-h3 | ［1］ |
| PAN-OS 10.2 | 修正版より前の版 | 10.2.7-h38、10.2.10-h41、10.2.13-h26、10.2.16-h11、10.2.18-h12 | ［1］ |
Qualysの10月15日の解説では、Qualysの顧客はQID 735740で脆弱な資産を検出できる［8］。
悪用の状況
Palo Alto Networksのアドバイザリのよくある質問では、表3のIPアドレスが、この脆弱性を狙う脅威活動と限定的な悪用の試みに関連づけられている［1］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| IPアドレス | 66[.]42[.]72[.]14 | Palo Alto Networks | ［1］ |
| IPアドレス | 208[.]83[.]239[.]114 | Palo Alto Networks | ［1］ |
| IPアドレス | 149[.]248[.]47[.]234 | Palo Alto Networks | ［1］ |
The Hacker Newsは、これらのIPアドレスは米国に位置し、悪用の試みに関連すると評価されていると報じた［10］。
NVDに載ったKEVの項目によると、CISAは名称を「Palo Alto Networks PAN-OS Code Injection Vulnerability」とし、対応の期限を10月17日とした［4］。求める対応は、ベンダーの指示に沿った緩和策の適用と、BOD 26-04とCISAの「Forensics Triage Requirements」への準拠である［4］。緩和策が無ければ、製品の使用の中止を求めた［4］。CISAはKEVカタログへの追加の告知も掲載した［5］。
Canadian Centre for Cyber SecurityはAV26-1041で、PAN-OSの12.2〜10.2とPrisma Browser（152.8.5.83未満）を対象に挙げた［6］。利用者と管理者には更新の適用を促した［6］。JPCERT/CCはWeekly Reportで、修正された脆弱性のうちCVE-2026-0322を悪用した攻撃をPalo Alto Networksが確認していると伝えた［7］。
SecurityWeekの記事では、KEVカタログにあるPalo Alto Networks製品の脆弱性は16件で、うち3件が今年に追加された［9］。
修正と回避策
Palo Alto Networksは解決策として、表2の修正版以降へのアップグレードを示した［1］。サポートが終わった古いPAN-OSには、サポート中の修正版へのアップグレードを求め、既知の回避策は無いとした［1］。
Threat Preventionの契約者は、Threat ID 510046と510047を有効にすると、限定的な防御が得られる［1］。このThreat IDはApplications and Threatsのコンテンツ9159-10287以降で使える［1］。その条件として、Palo Alto Networksは4つの設定を挙げた［1］。
Threat IDの利用にはSSL復号が要る［1］。Palo Alto Networksはよくある質問で、限定的な対応とは、既知の攻撃の型を現在のThreat IDで識別できても、検知できない変種がありうるという意味だと説明した［1］。影響を受ける環境では、影響の無い版へのアップグレードを推奨した［1］。
日立ソリューションズは、影響を受ける版で稼働するPAシリーズ（VMシリーズ含む）とPanoramaの利用者を案内の対象にした［2］。サポート終了済みの版の利用者には、サポート対象の修正済みの版への移行を検討するよう求めた［2］。掲載した以上の情報は開示されていないとも記した［2］。
未公表の事項
- 管理インターフェースのどの機能・入力でコードが注入されるか
- 攻撃者が認証情報を得た方法
- 悪用を受けた組織・機器の数
- 悪用の実行者と開始時期
- 侵害後の攻撃者の活動
注
- 〔注1〕The Hacker Newsの10月15日の記事は、修正版の一覧で11.2.16に「ETA: October 15, 2026」と付けていた［10］。
出典
当事者
- ［1］Palo Alto Networks, Inc.『CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface』（2026年10月14日公開、2026年10月15日更新）
関係組織
- ［2］株式会社日立ソリューションズ『PAN-OS 管理インターフェースの認証済みリモートコード実行の脆弱性（CVE-2026-0322）について』（2026年10月16日公開、PDF）
公的機関
- ［3］MITRE Corporation『CVE-2026-0322』（2026年10月14日公開、2026年10月15日更新）
- ［4］National Institute of Standards and Technology『CVE-2026-0322』（2026年10月14日公開、2026年10月15日更新）
- ［5］Cybersecurity and Infrastructure Security Agency『CISA Adds Four Known Exploited Vulnerabilities to Catalog』（2026年10月14日公開、保存記録のみ） 保存記録
- ［6］Communications Security Establishment Canada『Palo Alto Networks security advisory (AV26-1041) - Update 1』（2026年10月14日公開、2026年10月15日更新）
- ［7］一般社団法人JPCERTコーディネーションセンター『Weekly Report 2026-10-21号 【11】複数のPalo Alto Networks製品に脆弱性』（2026年10月21日公開）
調査・観測
- ［8］Qualys, Inc.『Palo Alto Networks (PAN-OS) Remote Code Execution Vulnerability Exploited in Attack (CVE-2026-0322)』（2026年10月15日公開、2026年11月3日更新）
報道機関
- ［9］Wired Business Media『Palo Alto Networks Patches PAN-OS Zero-Day Exploited for Remote Code Execution』（2026年10月15日公開）
- ［10］The Hacker News『Palo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation』（2026年10月15日公開）
- ［11］ニュースガイア株式会社『Palo Alto機器に搭載される「PAN-OS」に脆弱性 - 一部悪用を確認』（2026年10月15日公開）
更新記録
- 2026年10月17日：公開した。
- 2026年10月21日：JPCERT/CCのWeekly Report（出典7）を加え、「時系列」と「悪用の状況」を改めた。
- 2026年11月3日：Qualysの11月3日更新の解説（出典8）を加え、「対象の製品と版」を改めた。