PAN-OS 管理インターフェースで認証後に root のコード実行（KEV）

High（CVSS 8.6）に分類されるPalo Alto Networks PAN-OS（PA-Series / VM-Series / Panorama）の脆弱性です。**PAN-OS の管理インターフェースにコードインジェクションの欠陥があり、認証済みの攻撃者がファイアウォール上で root 権限の任意コードを実行できる。** Palo Alto Networks のアドバイザリ（2026年10月14日公開）によれば、PA-Series・VM-Series のファイアウォールと Panorama（仮想・M-Series）が対象で、特別な設定がなくても影響を受ける。CVSS 4.0 は **8.6 High**（PR:H＝高い権限が要る。管理インターフェースへの到達を踏み台サーバーに限った場合は 8.5）。 **悪用は確認済み。** アドバイザリは「管理インターフェースを狙った、ごく限られた悪用」を観測したとし、関連する IP アドレスを3件公表している。CISA は2026年10月14日に KEV へ収載し、是正期限を **2026年10月17日**とした。ランサムウェアでの利用は「不明」。 **Cloud NGFW と Prisma Access は対象外**で、対応は不要とされている。

**PAN-OS を修正版に上げる。** アドバイザリの修正版は系列ごとに次のとおり（いずれも「以降」）。 - **12.2**: 12.2.4 - **12.1**: 12.1.4-h12 / 12.1.7-h8 / 12.1.10-h2 - **11.2**: 11.2.4-h22 / 11.2.7-h21 / 11.2.10-h15 / 11.2.13-h3 / 11.2.16（11.2.16 は 10月15日公開予定と記載） - **11.1**: 11.1.4-h37 / 11.1.6-h39 / 11.1.7-h11 / 11.1.10-h35 / 11.1.13-h15 / 11.1.16-h3 - **10.2**: 10.2.7-h38 / 10.2.10-h41 / 10.2.13-h26 / 10.2.16-h11 / 10.2.18-h12 サポートが切れた版は、サポート中の修正版へ移る。 **回避策は無いが、露出は減らせる。** 管理インターフェースを信頼できる社内の IP（踏み台サーバー）からだけ届くようにするのが、Palo Alto Networks の推奨構成である。インターネットから管理画面に届く装置が最も危ない。Threat Prevention の契約があれば Threat ID 510046 / 510047（コンテンツ 9159-10287 以降）で一部を検知できるが、SSL 復号が前提で、アドバイザリ自身が「限定的」としている。 **完了条件**は、（1）全てのファイアウォールと Panorama が上記の修正版以上であること、（2）管理インターフェースがインターネットから届かないことを確認したこと、の2点である。

Palo Alto Networks PAN-OS（PA-Series / VM-Series / Panorama） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-0322）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/17 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。