Palo Alto Networks brengt patches uit voor een ernstige RCE-kwetsbaarheid in PAN-OS die actief wordt misbruikt door aanvallers.
Palo Alto Networks heeft beveiligingsupdates uitgebracht voor een ernstige kwetsbaarheid in de PAN-OS software die momenteel actief wordt misbruikt. Het gaat om een remote code execution (RCE) fout in de managementinterface, geregistreerd als CVE-2026-0322 met een CVSS-score van 8.6. Een geauthenticeerde aanvaller met netwerktoegang kan hiermee willekeurige code uitvoeren met rootrechten op de firewall.
De kwetsbaarheid treft PAN-OS op PA-Series en VM-Series firewalls, evenals Panorama (virtueel en M-Series). Cloud NGFW en Prisma Access zijn niet kwetsbaar. Palo Alto Networks meldt dat er geen speciale configuratie nodig is om de kwetsbaarheid te misbruiken, maar dat het risico kan worden beperkt door de toegang tot de managementinterface te beperken tot vertrouwde interne IP-adressen. Het gebruik van een jump box als enige toegangspunt wordt aanbevolen om de kans op exploitatie te verkleinen.
De patches zijn beschikbaar voor diverse PAN-OS versies, waaronder 12.2.4 en hoger, 12.1.4-h12 en hoger, 11.2.4-h22 en hoger, 11.1.4-h37 en hoger, en 10.2.7-h38 en hoger. Palo Alto Networks heeft beperkte actieve exploitatie waargenomen, maar geeft geen details over de aard van de aanvallen, de daders of het tijdstip waarop deze zijn begonnen. Drie IP-adressen uit de Verenigde Staten worden in verband gebracht met pogingen tot misbruik.
De kwetsbaarheid werd ontdekt en gerapporteerd door Suraj Siddharudh, senior principal product security researcher bij Palo Alto Networks. Tegelijkertijd waarschuwde Cisco voor een kritieke kwetsbaarheid in Cisco Secure Email Gateway (CVE-2026-76519, CVSS 9.8) die het mogelijk maakt voor een niet-geauthenticeerde aanvaller om willekeurige bestanden te schrijven en commando’s uit te voeren met rootrechten. Beide kwetsbaarheden zijn door de Amerikaanse CISA opgenomen in het Known Exploited Vulnerabilities (KEV) catalogus, met een deadline voor patching door federale instanties op 17 oktober 2026.
