Vulnérabilité critique dans PAN-OS

Produits concernés

• Branches PAN-OS 12.2, 12.1, 11.2, 11.1 et 10.2

• Firewalls matériels PA-Series

• Firewalls virtuels VM-Series

• Cloud NGFW sur AWS/Azure

• Panorama est également impacté

• Prisma Access est aussi concerné

Prérequis

• Accès réseau à l'interface web de management ou à l'interface dataplane du firewall

Risques

• Sur PA-Series : Exécution de code arbitraire avec les privilèges root

• Sur VM-Series : Déni de service uniquement

Résumé

Une vulnérabilité critique affectant PAN-OS, a été publiée par l'éditeur Palo Alto le 9 septembre 2026.

Le niveau de criticité de cette vulnérabilité est de 9.2 (score CVSSv4.0) pour les solutions PA-Series.

PAN-OS est le système d'exploitation qui équipe l'ensemble des firewalls Palo Alto Networks, assurant l'inspection et le filtrage du trafic réseau en périphérie de l'entreprise.

• CVE-2026-0310 : Un dépassement de tampon dans le traitement des données XML permet à un attaquant distant non authentifié, disposant d'un accès réseau à l'interface web de management ou à l'interface dataplane, d'envoyer des données XML spécialement conçues. L'impact diffère selon la plateforme : sur les firewalls matériels PA-Series, l'exploitation réussie peut mener à une exécution de code arbitraire avec les privilèges root ; sur les firewalls VM-Series, l'impact se limite à un déni de service.

A l’heure actuelle, aucune trace d’exploitation par des groupes d’attaquants ou d’exploit public n’a été remonté.

Étant donné l'absence totale d'authentification requise et le risque de compromission sur un équipement de sécurité périmétrique, nous préconisons de corriger cette vulnérabilité sans plus attendre, en priorisant les firewalls PA-Series.

Solutions

Détection de la compromission :

Afin de vérifier si un firewall est compromis, il est recommandé de :

• Auditer les journaux système à la recherche de requêtes XML anormales reçues sur l'interface de management ou l'interface dataplane

Aucun indicateur de compromission public formel n'est disponible à l'heure de l'émission de ce bulletin.

Remédiation

Mettre à jour PAN-OS vers l'une des versions corrigées, selon la branche déployée :

• 12.2 : 12.2.3 ou supérieure

• 12.1 : 12.1.4-h10, 12.1.7-h5 ou 12.1.10

• 11.2 : 11.2.4-h21, 11.2.7-h20, 11.2.10-h14 ou 11.2.13-h2

• 11.1 : 11.1.4-h36, 11.1.6-h38, 11.1.7-h10, 11.1.10-h33, 11.1.13-h12 ou 11.1.16-h2

• 10.2 : 10.2.7-h37, 10.2.10-h40, 10.2.13-h24, 10.2.16-h10 ou 10.2.18-h10

• Prisma Access : 12.1.7-h5, 11.2.7-h20 ou 10.2.10-h40 selon la version déployée

Mitigation

Aucun contournement n'est disponible seule l'application du correctif résout la vulnérabilité. En attendant le déploiement :

• Restreindre l'accès à l'interface de management aux seules adresses IP internes de confiance, conformément aux bonnes pratiques de déploiement de Palo Alto Networks

• Privilégier une administration exclusivement via une passerelle d'administration dédiée.