Palo Alto Networks corrige une faille PAN-OS exploitée activement : la CVE-2026-0322 permet l'exécution de code à distance.

Palo Alto Networks a publié mercredi des mises à jour de sécurité pour une faille PAN-OS jugée grave. Le problème est déjà exploité dans la nature. Par ailleurs, il touche le système d’exploitation qui équipe les pare-feu de l’éditeur. Les équipes de sécurité doivent donc réagir sans attendre.

Une faille PAN-OS exploitée dans la nature

La vulnérabilité porte l’identifiant CVE-2026-0322. Elle reçoit un score CVSS de 8,6. Ainsi, elle entre dans la catégorie des failles de haute sévérité. Il s’agit d’une exécution de code à distance (RCE).

Le défaut se situe dans l’interface de gestion du logiciel PAN-OS. Cette interface sert à administrer les équipements. En effet, elle donne accès à la configuration, aux politiques de filtrage et aux journaux.

L’éditeur confirme une exploitation active. Autrement dit, des attaquants se servent déjà de cette faille contre des cibles réelles. Ce constat change donc la priorité du correctif. Il ne s’agit plus d’un risque théorique, mais d’une menace avérée.

Ce que l’on sait de la CVE-2026-0322

Les informations disponibles restent limitées à ce stade. Elles précisent la nature de la faille, son score et son emplacement. En revanche, elles ne détaillent ni les versions concernées ni l’identité des attaquants. De plus, elles n’indiquent pas le nombre de victimes.

Le titre de l’alerte évoque une exécution de code distante qui exige une authentification. Cette précision compte. Ainsi, un attaquant doit en principe disposer d’un accès valide pour exploiter le défaut. Cependant, cela ne rend pas la faille anodine.

Les identifiants peuvent être volés, réutilisés ou devinés. Par ailleurs, un accès de faible niveau suffit parfois comme point de départ. Une fois le code exécuté sur le pare-feu, l’attaquant peut prendre le contrôle de l’équipement. Ensuite, il peut s’en servir pour pénétrer plus loin dans le réseau.

Pour connaître les versions corrigées, il faut consulter l’avis de sécurité officiel de Palo Alto Networks. En effet, c’est la seule source fiable pour choisir la bonne mise à jour.

Pourquoi l’interface de gestion est une cible de choix

Les pare-feu se trouvent à la frontière du réseau. Ils voient passer tout le trafic. Par conséquent, leur compromission offre une position très avantageuse. L’attaquant peut observer les flux, modifier des règles ou ouvrir des accès discrets.

L’interface de gestion concentre ces pouvoirs. C’est pourquoi les groupes malveillants la visent régulièrement, sur de nombreux produits réseau. Lorsqu’elle est exposée sur Internet, le risque grimpe fortement. De plus, ces équipements sont souvent peu surveillés. Peu d’outils de détection tournent directement sur le pare-feu.

Un compromis de ce type peut donc rester invisible longtemps. Les attaquants apprécient cette discrétion. Ils l’utilisent ainsi pour s’installer durablement avant de passer à l’étape suivante.

Comment réduire le risque lié à la faille PAN-OS

Les mesures ci-dessous relèvent des bonnes pratiques générales. Elles complètent l’application du correctif. Toutefois, elles ne la remplacent pas.

• Appliquer les mises à jour publiées par Palo Alto Networks dès que possible, en suivant l’avis officiel.
• Restreindre l’accès à l’interface de gestion. Elle ne doit donc pas être joignable depuis Internet. Limitez-la à un réseau d’administration dédié.
• Contrôler les comptes d’administration. Supprimez les comptes inutiles et imposez des mots de passe robustes.
• Activer l’authentification multifacteur pour tous les accès de gestion, notamment ceux des prestataires.
• Examiner les journaux à la recherche de connexions inhabituelles, de changements de configuration ou de commandes inattendues.
• Faire tourner les secrets si un doute existe : mots de passe, clés et certificats stockés sur l’équipement.

Enfin, si l’interface était exposée avant la correction, traitez l’équipement comme potentiellement compromis. Vérifiez son intégrité. Surveillez également les mouvements latéraux sur le réseau interne.

Ce qu’il faut retenir

• La CVE-2026-0322 est une faille d’exécution de code à distance dans l’interface de gestion de PAN-OS.
• Son score CVSS est de 8,6 et elle est exploitée activement.
• Palo Alto Networks a publié des correctifs mercredi.
• Un accès authentifié semble requis. Pourtant, les identifiants volés rendent le risque bien réel.
• L’urgence est double : patcher rapidement et couper toute exposition inutile de l’interface de gestion.

Les équipes qui exploitent des pare-feu Palo Alto Networks doivent donc vérifier leur parc dès aujourd’hui. Elles doivent aussi suivre les prochaines précisions de l’éditeur. Il s’agit notamment des versions touchées et des indicateurs de compromission.

Source : Palo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation