CVE-2026-0322 est une faille d'exécution de code à distance qui touche l'interface de gestion de PAN-OS, le système d'exploitation des pare-feu Palo Alto Networks. Publiée le 14 octobre 2026 par l'éditeur, elle permet à un attaquant déjà authentifié d'exécuter du code avec les privilèges root sur l'appliance. Palo Alto confirme une exploitation limitée mais réelle, et la CISA a inscrit la faille à son catalogue KEV avec une échéance de correction fixée au 17 octobre 2026 pour les agences fédérales américaines.
Qu'est-ce que CVE-2026-0322 ?
CVE-2026-0322 est une injection de code (CWE-94) dans l'interface de gestion de PAN-OS, exploitable par un attaquant qui dispose déjà d'un accès réseau à cette interface et d'un niveau de privilège élevé sur le compte utilisé. Palo Alto Networks lui attribue un score CVSS 4.0 de 8,6 sur 10 dans le cas général, et 8,5 lorsque l'accès est limité à un bastion (jump box). Une fois l'exploitation réussie, l'attaquant obtient une exécution de code arbitraire avec les privilèges root, c'est-à-dire un contrôle complet de l'appliance.
Le défaut touche les pare-feu physiques de la gamme PA-Series, les pare-feu virtuels VM-Series, ainsi que les instances Panorama (virtuelles et sur boîtier M-Series) utilisées pour administrer plusieurs pare-feu depuis une console centrale. Cloud NGFW et Prisma Access, les offres managées par Palo Alto, ne sont pas concernées.
À retenir : cette faille ne nécessite pas d'accès direct depuis Internet pour être dangereuse. Elle vise spécifiquement l'interface de gestion, qui ne devrait jamais être exposée publiquement. Si c'est le cas sur votre parc, traitez la mise à jour comme une urgence.
Quels pare-feu Palo Alto sont concernés par CVE-2026-0322 ?
Les versions suivantes de PAN-OS sont vulnérables si elles n'ont pas reçu le correctif correspondant :
| Branche PAN-OS | Versions vulnérables | Version corrigée |
|---|---|---|
| 12.2 | Antérieures à 12.2.4 | 12.2.4 |
| 12.1 | Antérieures à 12.1.4-h12 / 12.1.7-h8 / 12.1.10-h2 | Correctif de la branche concernée |
| 11.2 | Antérieures à 11.2.4-h22 / 11.2.7-h21 / 11.2.10-h15 / 11.2.13-h3 / 11.2.16 | 11.2.16 |
| 11.1 | Antérieures à 11.1.4-h37 / 11.1.6-h39 / 11.1.7-h11 / 11.1.10-h35 / 11.1.13-h15 / 11.1.16-h3 | 11.1.16-h3 |
| 10.2 | Antérieures à 10.2.7-h38 / 10.2.10-h41 / 10.2.13-h26 / 10.2.16-h11 / 10.2.18-h12 | 10.2.18-h12 |
Les versions de PAN-OS plus anciennes et non supportées doivent migrer vers une branche encore maintenue avant de pouvoir appliquer un correctif. Selon l'avis de l'éditeur, consulté le 15 octobre 2026, la version 11.2.16 a été publiée ce même jour pour clore la branche 11.2.
Pourquoi cette faille est-elle activement exploitée ?
Palo Alto Networks qualifie la maturité de l'exploit d'« ATTACKED » dans son avis officiel et indique avoir observé une « exploitation très limitée » ciblant spécifiquement l'interface de gestion de ses pare-feu. L'éditeur a identifié trois adresses IP associées à des tentatives d'exploitation : 66.42.72.14, 208.83.239.114 et 149.248.47.234. Ces indicateurs restent partiels : leur absence dans vos journaux ne garantit pas l'absence de compromission, en particulier si l'attaquant a changé d'infrastructure depuis leur publication.
La faille a été découverte en interne par le chercheur Suraj Siddharudh, puis corrigée et publiée simultanément le 14 octobre 2026. La CISA l'a ajoutée à son catalogue des vulnérabilités connues et exploitées (KEV) le 15 octobre 2026, avec une obligation de correction pour les agences fédérales américaines avant le 17 octobre 2026, un délai de deux jours seulement qui traduit le niveau de priorité accordé à cette faille.
Pourquoi l'absence d'exposition publique ne suffit-elle pas à se sentir protégé ?
Selon les bonnes pratiques Palo Alto elles-mêmes, l'interface de gestion ne devrait jamais être directement accessible depuis Internet. Dans les environnements où cette recommandation est respectée, l'exploitation suppose qu'un attaquant ait déjà obtenu un accès réseau interne, par exemple via un poste compromis, un VPN mal segmenté ou un mouvement latéral depuis une autre faille. CVE-2026-0322 agit alors comme une étape d'escalade, pas nécessairement comme un point d'entrée initial, ce qui la rend particulièrement utile aux attaquants déjà présents sur un réseau.
Comment se protéger contre CVE-2026-0322 ?
Palo Alto Networks précise qu'aucun contournement ne corrige entièrement la faille : la mise à jour reste la seule remédiation complète. En attendant ou en complément :
- Mettez à jour PAN-OS vers la version corrigée de votre branche dès que votre fenêtre de maintenance le permet, en traitant cette opération comme prioritaire si l'interface de gestion est accessible au-delà d'un réseau strictement administratif.
- Restreignez l'accès à l'interface de gestion aux seules adresses IP internes de confiance, ou à un bastion unique (jump box), conformément aux recommandations de durcissement de l'éditeur.
- Faites transiter le trafic du port MGT par une interface data-plane plutôt que par l'interface de gestion dédiée, et remplacez le certificat de gestion entrant si vous suspectez une interception.
- Activez les identifiants de menace 510046 et 510047 si vous disposez de Threat Prevention et du contenu 9159-10287 ou supérieur, ce qui requiert le déchiffrement SSL du trafic de gestion entrant : cette mesure réduit le risque sans remplacer le correctif.
- Recherchez les trois adresses IP listées plus haut dans vos journaux de pare-feu et de supervision réseau, en gardant à l'esprit qu'elles ne couvrent qu'une partie de l'activité observée à ce jour.
- Consultez une base de données CVE à jour pour suivre l'évolution de cet avis et les autres vulnérabilités Palo Alto déjà exploitées, et utilisez un calculateur CVSS contextualisé pour ajuster la priorité de ce correctif à votre exposition réelle (segmentation, accès VPN, présence d'un bastion).
Cette faille rejoint une liste déjà longue de vulnérabilités critiques touchant des équipements de périphérie réseau en 2026. Les articles sur les trois failles zero-day enchaînées d'Ivanti Connect Secure, sur la faille CVE-2026-88779 de Citrix NetScaler et sur les quatre failles critiques de SonicWall SMA1000 détaillent des démarches de correction comparables sur d'autres passerelles d'accès. Selon Qualys ThreatPROTECT, cette exploitation limitée s'inscrit dans une tendance où les interfaces de gestion des équipements de sécurité périmétrique restent une cible privilégiée, que l'exposition soit directe ou obtenue après un premier accès au réseau interne.
Points clés
- CVE-2026-0322 (CVSS 8,6) permet une exécution de code root sur l'interface de gestion de PAN-OS, exploitable par un attaquant déjà authentifié avec un accès réseau à cette interface.
- Palo Alto Networks confirme une exploitation limitée mais réelle, et la CISA impose un correctif aux agences fédérales américaines avant le 17 octobre 2026.
- PA-Series, VM-Series et Panorama sont concernés ; Cloud NGFW et Prisma Access ne le sont pas.
- Aucun contournement complet n'existe : la mise à jour vers la version corrigée de chaque branche PAN-OS reste la seule remédiation définitive.
- Restreindre l'accès à l'interface de gestion aux réseaux de confiance reste la meilleure protection en attendant le déploiement du correctif.