Злоумышленники используют недавно обнаруженную уязвимость в программном обеспечении межсетевого экрана PAN-OS компании Palo Alto Networks для выполнения кода с правами root. Федеральные агентства США получили предписание устранить ее и проверить системы на предмет компрометации до 17 октября.
Компания Palo Alto Networks раскрыла информацию об уязвимости, отслеживаемой как CVE-2026-0322, в бюллетене безопасности, опубликованном 14 октября. Согласно бюллетеню, уязвимость «позволяет аутентифицированному злоумышленнику с сетевым доступом выполнять произвольный код с правами root на межсетевом экране».
«Наблюдались очень ограниченные случаи эксплуатации, нацеленные на интерфейс управления Palo Alto Networks», — заявила компания. Уязвимости был присвоен высокий уровень опасности — 8,6 по шкале CVSS 4.0, а также наивысший рейтинг срочности. Компания классифицировала ее как CWE-94 — слабость, связанная с внедрением кода.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) в тот же день добавило CVE-2026-0322 в свой каталог известных уязвимостей, используемых злоумышленниками, ссылаясь на доказательства активной эксплуатации.
Требуется криминалистическая экспертиза
В каталоге уязвимость помечена как требующая криминалистической экспертизы в соответствии с Директивой оперативного управления 26-04. Директива «устанавливает базовые ожидания относительно того, когда агентства должны проверять, скомпрометировали ли злоумышленники систему до установки исправления», — заявило CISA в своем уведомлении о добавлении уязвимости.
В записи предписывается агентствам применять меры по устранению уязвимости от поставщика или прекратить использование продукта, если меры недоступны. Использование уязвимости в кампаниях по распространению программ-вымогателей не выявлено.
Их Кай Вонг, старший менеджер по исследованиям в области услуг безопасности IDC Asia/Pacific, отметил, что команды безопасности должны отслеживать, кто имеет доступ к интерфейсу управления извне доверенной сети, и проверять историю входов администраторов на предмет необычной активности. «Они также должны проверять конфигурации межсетевых экранов на наличие неожиданных изменений, поскольку скомпрометированное устройство может быть незаметно перенастроено для сохранения компрометации», — сказал он.
«Установка исправлений — это лишь часть реагирования», — заявил Вибхум Дубей, специалист по кибербезопасности и участник red team. Он добавил, что команды должны проверять Panorama и все управляемые межсетевые экраны, а также сохранять доказательства перед внесением изменений.
Затронутые продукты и исправления
Согласно бюллетеню, уязвимость затрагивает PAN-OS на межсетевых экранах PA-Series и VM-Series, а также на Panorama, как в виртуальном, так и в M-Series исполнении. Cloud NGFW и Prisma Access не затронуты.
«Для того чтобы быть затронутым этой проблемой, не требуется специальная конфигурация», — говорится в бюллетене.
Компания Palo Alto Networks выпустила исправленные версии для PAN-OS 10.2, 11.1, 11.2, 12.1 и 12.2, с выпусками исправлений для каждой линии поддержки. В бюллетене указана предполагаемая дата выпуска PAN-OS 11.2.16, являющегося путем обновления для клиентов, использующих 11.2.14 и 11.2.15. Клиентам, использующим неподдерживаемые версии, рекомендуется перейти на поддерживаемую исправленную версию.
Вонг отметил, что доступ к управлению любым устройством, которое еще ожидает исправления, следует заблокировать или применить компенсирующие меры контроля на устройстве.
Как злоумышленники получают доступ
В бюллетене не указано, как злоумышленники получили доступ, когда началось использование уязвимости или сколько клиентов пострадало.
«Точкой входа, вероятно, является не сама ошибка, а слабые практики управления доступом», — считает Вонг. Он упомянул украденные учетные данные администраторов через фишинг или повторное использование, интерфейсы управления, доступные из Интернета, или предыдущую компрометацию, которая предоставила злоумышленнику действительные логины.
«Как только они смогут выполнять код от имени root на межсетевом экране, они получат контроль над устройством, которое обеспечивает безопасность всей сети», — сказал Дубей.
Palo Alto Networks заявила, что уязвимость была обнаружена внутренними специалистами.
Рабочих решений пока нет
«Известных рабочих решений для этой проблемы нет», — говорится в бюллетене.
Клиенты с подпиской Threat Prevention могут включить идентификаторы угроз 510046 и 510047, которые, по словам компании, обеспечивают ограниченное покрытие и требуют расшифровки SSL. «Могут существовать вариации, которые в настоящее время не могут быть обнаружены», — говорится в разделе часто задаваемых вопросов бюллетеня.
Компания заявила, что риск «наивысший, когда вы разрешаете доступ к интерфейсу управления с внешних IP-адресов в Интернете», и рекомендовала ограничить доступ доверенными внутренними IP-адресами.
Вонг отметил, что узкий промежуток является предупреждением, поскольку промежуточный сервер (jump box) только ограничивает или замедляет доступ, но не уменьшает ущерб от злоумышленника, обладающего действительными учетными данными. «Реальные риски заключаются в безопасности учетных данных и обнаружении злоупотреблений после входа в систему, а не просто в ограничении доступа к входной двери», — сказал он.
Вонг добавил, что предприятия должны спрашивать у поставщиков, почему интерфейсы управления продолжают оставаться слабым местом, вместо того чтобы быть заблокированными по умолчанию, как они обнаруживают злоупотребления действительными учетными данными администратора и как быстро исправления достигают каждой поддерживаемой версии. «Пока не будет охвачена каждая затронутая версия, производственные системы остаются под угрозой».
«Если злоумышленник получает контроль над межсетевым экраном, организации должны иметь четкий способ определить, можно ли еще доверять устройству», — сказал Дубей. Palo Alto Networks не ответила немедленно на запрос о комментарии.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Gyana Swain
