Palo Alto 修复 PAN-OS 零日漏洞 CVE-2026-0322，已被在野利用

Palo Alto Networks 于 10 月 14 日发布修复，针对 PAN-OS 管理界面中的代码注入漏洞 CVE-2026-0322。该漏洞 CVSS 4.0 评分为 8.6，属于 CWE-94 代码注入类问题，攻击者需持有高权限有效凭据并能访问管理界面，成功利用后可以 root 权限执行任意代码。公司称实际利用情况“非常有限”。

美国网络安全和基础设施安全局（CISA）已将 CVE-2026-0322 列入已知被利用漏洞目录，修复截止日期为 10 月 17 日。受影响产品包括 PA 系列、VM 系列防火墙以及虚拟版和 M 系列的 Panorama；Cloud NGFW 与 Prisma Access 不受影响。

漏洞能做什么

利用该漏洞需要同时满足两个条件：持有高权限的有效凭据，以及能够从网络访问管理界面。公司表示利用该漏洞不需要特殊配置，因此没有可以通过关闭某项功能来规避的选项。

一旦利用成功，攻击者可以以 root 权限执行任意代码，也就是获得对系统的最高级别控制。在这一权限下，攻击者可以改写任意过滤规则、读取流经设备的数据，并在设备上留下持久化软件。如果管理访问被限制在跳板机上，评分仅小幅降至 8.5。

受影响版本

该漏洞影响 PA 系列和 VM 系列防火墙上的 PAN-OS，以及虚拟版和 M 系列的 Panorama。已经停止支持的版本必须迁移到受支持的版本分支，因为官方不会为这些版本提供修复。

Palo Alto 列出了各分支的修复版本：12.2 分支为 12.2.4 或更高；12.1 分支为 12.1.4-h12、12.1.7-h8、12.1.10-h2；11.2 分支为 11.2.16（预计 10 月 15 日发布）；11.1 分支为 11.1.4-h37、11.1.6-h39、11.1.7-h11、11.1.10-h35、11.1.13-h15、11.1.16-h3；10.2 分支为 10.2.7-h38、10.2.10-h41、10.2.13-h26、10.2.16-h11、10.2.18-h12。使用 11.2 分支的用户需要仔细核对构建版本，因为列为最终修复的 11.2.16 预计在 10 月 15 日才发布。关键在于实际安装的构建版本，而不是分支本身。

无法打补丁时的缓解

Palo Alto 表示目前没有已知的变通方法，只有部分缓解措施，这些措施应在等待补丁期间使用，不能替代补丁。措施包括：将管理界面的访问限制在受信任的内部 IP 地址，移除仍然存在的直接互联网暴露；如果订阅了 Threat Prevention，启用 Threat ID 510046 和 510047 的签名（内容版本 9159-10287 及以后），这些签名只能部分覆盖相关流量，并且需要 SSL 解密；将管理流量经由数据平面端口转发，更换管理证书，并对入站流量启用解密和威胁防护。

公司警告称，可能存在当前签名无法检测的攻击变种，因此这些缓解措施只是争取时间，并不能彻底解决问题。在事后排查方面，Palo Alto 公布了三个与攻击相关的 IP 地址：66.42.72[.]14、208.83.239[.]114 和 149.248.47[.]234，建议在管理界面访问日志中查找。

为何仍需重视

Palo Alto 在官方公告中将实际利用情况描述为“非常有限”。

这距离 CVE-2026-0300 缓冲区溢出漏洞约五个月。Palo Alto Networks 是一家美国网络安全公司，以防火墙产品闻名，PAN-OS 是这些设备运行的操作系统，Panorama 则是用于集中管理多台防火墙的控制台。这类设备位于各类企业和公共机构的网络边界，因此在防火墙上实现 root 级代码执行，其影响远超安全圈本身。

要点

• CVE-2026-0322 为 PAN-OS 管理界面代码注入漏洞
• CVSS 4.0 评分 8.6，成功利用可获 root 权限
• 利用需高权限凭据与管理界面网络可达
• CISA 已列入已知被利用漏洞目录，截止 10 月 17 日
• Palo Alto 称无已知变通方法，仅有部分缓解措施