Palo Alto : RCE PAN-OS CVE-2026-0322 activement exploitée

Le CERT-FR a publié le 15 octobre l'avis CERTFR-2026-AVI-1326, qui regroupe un très large ensemble de vulnérabilités dans les produits Palo Alto Networks. Une seule sort du lot pour l'urgence : CVE-2026-0322, dont le CERT-FR écrit noir sur blanc que l'éditeur « indique que [elle] est activement exploitée ». Si l'interface d'administration de votre pare-feu est joignable depuis un réseau non maîtrisé, c'est un traitement du jour.

La faille exploitée

CVE-2026-0322 est une exécution de code à distance authentifiée dans l'interface d'administration de PAN-OS, notée CVSS 8.6 par Palo Alto dans son bulletin security.paloaltonetworks.com/CVE-2026-0322. Le score reste sous le seuil critique parce que l'exploitation suppose un compte administrateur valide et un accès réseau à l'interface de gestion — d'où l'exposition réelle : les plans d'administration accessibles depuis Internet ou depuis un réseau à plat.

Le reste du lot

L'avis couvre bien plus que PAN-OS. Les produits concernés incluent GlobalProtect App, Prisma Access, Prisma Browser, Cortex XSIAM/XSOAR OS Query et Checkov. Les risques listés par le CERT-FR vont de l'exécution de code à distance à l'élévation de privilèges, le déni de service, la SSRF et le XSS. Côté PAN-OS, les correctifs se répartissent sur les trains 10.2, 11.1, 11.2, 12.1 et 12.2 ; le CERT-FR précise qu'« un correctif est en attente de publication pour PAN-OS versions 11.2.6 ».

Le détail des builds corrigés par branche figure dans la table de solutions de l'avis et dans le bulletin PAN-SA-2026-0013 de l'éditeur. Alignez-vous sur le build exact de votre déploiement plutôt que de sauter de train.

Que faire

1. Vérifiez l'exposition d'abord. L'interface d'administration est-elle joignable depuis Internet ou un segment non maîtrisé ? C'est ce qui fait passer la CVE-2026-0322 de « corriger bientôt » à « corriger maintenant ».
2. Restreignez l'interface de gestion à des adresses internes de confiance, conformément aux recommandations de longue date de Palo Alto. À faire avant même le correctif.
3. Appliquez le correctif du train correspondant. Pour PAN-OS 11.2.6, le correctif étant annoncé mais pas encore publié, basculez sur une branche corrigée disponible plutôt que d'attendre.
4. Faites rejouer les correctifs du lot pour GlobalProtect, Prisma Access et Prisma Browser : l'avis regroupe des dizaines d'identifiants CVE, pas uniquement la faille exploitée.
5. Rotez les comptes d'administration si l'interface a été exposée — le chemin d'exploitation suppose un attaquant authentifié.

Contexte

C'est le mode de défaillance que Palo Alto répète : un plan d'administration exposé transforme une faille « à privilèges requis » en RCE exposée sur Internet. Le schéma fait écho à la chaîne CVE-2024-0012 / CVE-2024-9474 qui avait motivé les avis « sortez l'interface d'administration d'Internet ». Un pare-feu est une cible de valeur ; son interface de gestion ne devrait jamais être la première chose qu'un attaquant peut atteindre.