Palo Alto corrige falha zero-day do PAN-OS explorada contra firewalls
A Palo Alto Networks disponibilizou atualizações para corrigir a CVE-2026-0322, uma vulnerabilidade de execução remota de código no PAN-OS. A empresa confirmou que a falha já foi usada em ataques, embora tenha descrito a exploração observada como limitada. O problema recebeu pontuação CVSS 8,6 e afeta a interface de gerenciamento de determinados equipamentos.
Para explorar a brecha, o invasor precisa ter credenciais válidas e conseguir acessar pela rede a interface administrativa do firewall. Se a tentativa for bem-sucedida, pode executar código com privilégios de root no dispositivo vulnerável, o que representa um risco elevado para a segurança e a operação da rede.
Estão na lista de produtos afetados os firewalls das famílias PA-Series e VM-Series, além dos appliances Panorama das linhas virtual e M-Series. Segundo a fabricante, os serviços Cloud NGFW e Prisma Access não são impactados pela CVE-2026-0322.
A falha é considerada zero-day porque foi explorada antes de a correção estar disponível. A Agência de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos (CISA) incluiu a vulnerabilidade em seu catálogo de falhas exploradas. A agência determinou que órgãos civis federais americanos adotassem medidas de mitigação até 17 de outubro.
Atualizações e medidas recomendadas
As correções abrangem versões do PAN-OS 10.2, 11.1, 11.2, 12.1 e 12.2. A atualização para a versão 11.2.16 estava prevista para 15 de outubro. Como a disponibilidade pode variar conforme a versão instalada e o modelo do equipamento, administradores devem conferir qual pacote se aplica ao ambiente e planejar a instalação com prioridade.
Organizações que ainda utilizam versões antigas e sem suporte precisam migrar para uma edição mantida pelo fabricante. Permanecer em uma versão sem atualizações pode deixar o firewall exposto não apenas a essa falha, mas também a vulnerabilidades para as quais já não há correções disponíveis.
A Palo Alto Networks informa que não há uma solução de contorno capaz de substituir a atualização. Enquanto o patch não for aplicado, a principal recomendação é restringir o acesso à interface de gerenciamento a endereços IP internos e confiáveis. Essa interface não deve ficar acessível de redes públicas ou de segmentos que não necessitem administrá-la.
Também é importante revisar as contas com permissão de gerenciamento. A organização deve remover credenciais desnecessárias, alterar senhas potencialmente comprometidas e garantir que o acesso esteja limitado a profissionais autorizados. Essas medidas não corrigem a vulnerabilidade, mas reduzem as possibilidades de que um invasor obtenha acesso válido.
Clientes com assinatura do Threat Prevention podem habilitar assinaturas voltadas à identificação de padrões de ataque conhecidos. A proteção, contudo, é limitada: técnicas modificadas ou variantes podem não ser detectadas. Por isso, a fabricante recomenda instalar uma versão corrigida sempre que o equipamento estiver exposto.
Como avaliar a exposição
A primeira etapa é identificar todos os firewalls e appliances Panorama em uso, registrando modelo, versão do PAN-OS e forma de acesso à interface administrativa. O levantamento deve incluir equipamentos virtuais e ambientes distribuídos, não apenas os dispositivos instalados na sede da empresa.
Em seguida, a equipe de segurança deve verificar se a interface de gerenciamento pode ser alcançada a partir da internet, de redes de terceiros ou de segmentos internos amplos. Quanto maior o número de origens com acesso, maior a superfície disponível para tentativas de invasão. A restrição por endereços confiáveis e a segmentação da rede ajudam a reduzir essa exposição.
Como houve exploração real, não basta atualizar e encerrar a investigação. É prudente revisar registros de autenticação e administração em busca de acessos incomuns, tentativas fora do padrão ou alterações que não tenham sido autorizadas. A análise deve considerar o período anterior à instalação da correção, pois o patch impede novas explorações da falha, mas não desfaz uma invasão que já tenha ocorrido.
Se forem identificados sinais de comprometimento, a equipe deve tratar o caso como um incidente de segurança: preservar registros, limitar acessos suspeitos, avaliar a integridade do equipamento e investigar se outros sistemas foram afetados. A troca de credenciais administrativas também pode ser necessária, especialmente quando houver indícios de uso indevido de contas válidas.
A prioridade deve ser dada aos dispositivos cuja interface de gerenciamento esteja exposta a redes não confiáveis ou que atendam funções críticas. Ainda assim, a correção precisa ser aplicada a todos os equipamentos afetados, seguindo os procedimentos internos de teste e mudança. Em uma vulnerabilidade zero-day já explorada, reduzir o acesso é uma proteção temporária; atualizar para uma versão não afetada é a medida essencial.