Palo Alto機器に搭載される「PAN-OS」に脆弱性 - 一部悪用を確認

また「PAN-OS」において、認証を必要とせず攻撃を繰り返すことで、ファイアウォールをメンテナンスモードに移行させることができるサービス拒否の脆弱性「CVE-2026-0321」が判明。

管理者がシステムの制限を回避し、root権限で任意のコマンドを実行できる「CVE-2026-0320」、「GlobalProtect」のゲートウェイにおいて認証済みユーザーが別のユーザーのIDでセッションを確立できる「CVE-2026-0319」などが確認されている。

さらに、読み取り専用の管理者権限を持つユーザーが、細工したAPIリクエストによってDoS状態を引き起こすことが可能となる「CVE-2026-0317」、管理インタフェースにおける格納型クロスサイトスクリプティング（XSS）の脆弱性「CVE-2026-0316」なども明らかとなった。

「CVE-2026-0318」はログ処理機能に存在する、スタックベースのバッファオーバーフローの脆弱性。「Panorama」固有の問題としており、単体のファイアウォールは影響を受けない。

同社は、脆弱性を修正した「PAN-OS 12.2.4」「同12.1.10-h2」「同11.1.16-h3」「同10.2.18-h12」などを提供。「PAN-OS 11.2.16」に関しては、現地時間10月15日の提供を予定している。

（Security NEXT - 2026/10/15 ）ツイート