Palo Alto Networks, falla zero-day nei firewall: gli hacker potevano ottenere i privilegi root

Palo Alto Networks ha rivelato una vulnerabilità zero-day, CVE-2026-0322, sfruttata per ottenere accesso root ai firewall. L'errore, valutato 8,6 punti CVSS, riguarda l'interfaccia di gestione PAN-OS e richiede credenziali valide. Sono a rischio i firewall PA-Series, VM-Series e Panorama.

Palo Alto Networks ha rivelato una vulnerabilità zero-day già sfruttata dagli hacker per attaccare i firewall. L’errore consente di eseguire comandi con privilegi root e di controllare completamente il dispositivo di protezione. Il produttore ha rilasciato correzioni, mentre la valutazione del rischio è di 8,6 punti CVSS.

La vulnerabilità CVE-2026-0322 riguarda l’interfaccia di gestione PAN-OS. Per l’attacco, un hacker malintenzionato ha bisogno di credenziali valide e accesso di rete all’interfaccia. Se entrambe le condizioni sono soddisfatte, è possibile eseguire codice arbitrario con i permessi di superutente. Pertanto, non si tratta di un attacco a qualsiasi firewall accessibile da Internet senza autorizzazione.

Il problema è stato classificato come CWE-94, protezione insufficiente contro l’iniezione di codice. Palo Alto Networks non ha fornito dettagli sull’esploit. L’attacco non richiede ulteriori azioni dell’utente o una configurazione particolare del dispositivo, ma la presenza di un account utente rimane una condizione obbligatoria.

Sono a rischio i firewall hardware PA-Series, i firewall virtuali VM-Series, nonché i sistemi di gestione Panorama su macchine virtuali e dispositivi M-Series. L’errore riguarda le versioni PAN-OS 10.2, 11.1, 11.2, 12.1 e 12.2. Secondo il produttore, i servizi cloud Cloud NGFW e Prisma Access non sono stati colpiti.

L’azienda ha confermato un numero estremamente limitato di tentativi di sfruttamento, ma non ha nominato le organizzazioni colpite. Gli attacchi sono stati collegati agli indirizzi IP 66.42.72.14, 208.83.239.114 e 149.248.47.234. Gli amministratori sono invitati a verificare i log per eventuali accessi da questi indirizzi e a limitare l’accesso all’interfaccia di gestione ai nodi interni fidati.

Per PAN-OS 12.2, la correzione è disponibile a partire dalla versione 12.2.4. Nella versione 12.1 sono stati rilasciati i build 12.1.4-h12, 12.1.7-h8 e 12.1.10-h2. Per PAN-OS 10.2, 11.1 e 11.2, la versione necessaria va scelta in base alla tabella del produttore in funzione del build installato. Limitare l’accesso di rete non è sufficiente per eliminare la vulnerabilità.

Non esiste una soluzione alternativa completa senza aggiornamento. Le firme Threat Prevention 510046 e 510047 aiutano contro le varianti note di attacco, ma richiedono il decrittografamento del traffico SSL all’interfaccia di gestione. Nel bollettino di sicurezza Palo Alto Networks raccomanda di installare immediatamente le correzioni.

A maggio 2026, il produttore aveva già avvertito di un’altra vulnerabilità di PAN-OS, che permetteva di ottenere root senza autorizzazione. La CVE-2026-0322 richiede credenziali, ma dopo un exploit riuscito, l’hacker ottiene privilegi massimi sul dispositivo che protegge la rete aziendale.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response