Palo Alto Networksは2026年10月14日(UTC、日本時間10月15日)、PAN-OSの管理インターフェースに存在するリモートコード実行(RCE)脆弱性CVE-2026-0322を公表しました。同社は、この脆弱性を狙う実際の悪用を「ごく限定的」に確認したとしています。
攻撃には管理インターフェースへのネットワーク接続と認証が必要ですが、成功すると対象機器上でroot権限の任意コード実行につながります。対象はPA-Series、VM-SeriesとPanoramaで、Cloud NGFWとPrisma Accessは影響を受けません。詳細はPalo Alto Networksの公式アドバイザリに掲載されています。
CISAも10月14日付で、本脆弱性を既知の悪用が確認された脆弱性カタログ(KEV)へ追加しました。管理画面を外部へ公開している環境では、アクセス元の制限と修正版への更新を優先してください。
CVE-2026-0322の概要
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-0322 |
| 対象 | PAN-OSを使用するPA-Series、VM-Series、Panorama(仮想版・M-Series) |
| 脆弱性 | 管理インターフェースのコードインジェクション(CWE-94) |
| CVSS v4.0基本値 | 8.6(High)。Palo Alto Networksによる評価 |
| 攻撃の前提 | 管理インターフェースへのネットワーク接続と、高い権限での認証(PR:H) |
| 主な影響 | root権限での任意コード実行 |
| 実悪用 | ベンダーがごく限定的な悪用を確認 |
| CISA KEV追加日 | 2026年10月14日 |
| 対処 | 該当する保守系統の修正版へ更新 |
認証が必要でも、対象機器のroot権限に到達
原因は、管理インターフェースでのコード生成を適切に制御できない問題です。CWE-94(Code Injection)に分類され、認証済みの攻撃者が任意コードをroot権限で実行できると説明されています。
ベンダーのCVSS v4.0ベクトルでは、必要権限はHigh(PR:H)、利用者操作は不要(UI:N)です。事前に高い権限で認証できることが前提で、その条件を満たすとroot権限でコードを実行できます。
Palo Alto Networksによると、影響製品の脆弱なバージョンでは、追加の設定を有効にしていなくても影響を受けます。インターネットから管理インターフェースへ接続できる場合にリスクが最も高く、接続元を信頼できる内部IPアドレスや踏み台へ限定するよう推奨しています。
影響製品と修正版
PA-SeriesとVM-Seriesに加え、仮想版およびM-SeriesのPanoramaも確認対象です。Cloud NGFWとPrisma Accessについて、ベンダーは影響なしとしています。
11.2.16は10月15日18時30分(UTC、日本時間10月16日3時30分)の更新履歴で、公開済みと案内されました。2026年10月16日時点で、公式アドバイザリが示す修正済みビルドは次のとおりです。
| PAN-OS系列 | 各保守系統の修正下限 |
|---|---|
| 12.2 | 12.2.4 |
| 12.1 | 12.1.4-h12 / 12.1.7-h8 / 12.1.10-h2 |
| 11.2 | 11.2.4-h22 / 11.2.7-h21 / 11.2.10-h15 / 11.2.13-h3 / 11.2.16 |
| 11.1 | 11.1.4-h37 / 11.1.6-h39 / 11.1.7-h11 / 11.1.10-h35 / 11.1.13-h15 / 11.1.16-h3 |
| 10.2 | 10.2.7-h38 / 10.2.10-h41 / 10.2.13-h26 / 10.2.16-h11 / 10.2.18-h12 |
同じ行のビルドは、それぞれ異なる保守系統に対応します。たとえば11.2.15は11.2.13-h3より番号が大きいものの影響を受け、11.2.16以降への更新が必要です。現在のバージョンに対応する更新先を、公式表の「Suggested Solution」で確認してください。サポート終了済みの旧版については、サポート対象の修正版へ移行するよう案内されています。
CISA KEVに記載された対応期限は10月17日
CISAのKEV登録の追加日は2026年10月14日で、記載された対応期限は10月17日です。「forensicTriage」の欄は「Yes」で、BOD 26-04の対象機関に、資産が侵害されていないかを調べる初期調査(フォレンジックトリアージ)を求めています。
この期限は、米連邦政府の文民行政機関(FCEB)の対象資産に適用されるBOD 26-04の枠組みに基づきます。日本の一般企業に直接課す期限ではありませんが、対応の優先度を判断する材料になります。FCEBでも、インターネットへの公開状況などにより、資産ごとの対応期限は変わります。
KEVのランサムウェア利用欄は「Unknown」で、ランサムウェアへの利用は未確定です。
管理アクセスの制限と侵害確認
ベンダーは、この脆弱性を解決する既知の回避策はないとしています。接続元の制限はリスク低減策として実施し、修正版への更新も進める必要があります。
同社の管理アクセス保護ガイドでは、専用の管理ネットワークへ分離すること、踏み台を使うこと、許可した管理端末だけから接続させることを推奨しています。専用MGTポートを使う構成と、データポートに管理アクセスを設定する構成の両方が対象です。
Threat Preventionサブスクリプションの契約者には、Applications and Threatsコンテンツ9159-10287以降でThreat ID 510046と510047による限定的な保護が提供されています。
利用するには、MGTポート向けの通信をデータポート(DP)経由にすること、管理用証明書を差し替えること、管理通信をSSL復号すること、管理サービスへの通信で脅威防御を有効にすることが条件です。MGTポートへ直接接続するだけの構成では、この条件を満たしません。条件を満たしても検出範囲は限定的で、修正の代わりにはなりません。
公式アドバイザリのFAQには、この脆弱性を狙う活動に関連した3つのIPアドレスが侵害指標(IoC)として掲載されています。運用上の確認では、管理インターフェースへの通信記録や認証履歴との照合が手がかりになります。ただし、IPの一致の有無だけで侵害を断定・否定することはできません。
管理者がまず確認したいのは、PA-Series、VM-Series、Panoramaのバージョンと、管理インターフェースに誰が接続できるかです。該当する修正版への更新を進め、外部から管理インターフェースへ接続可能だった機器では、IoCや認証・管理操作の履歴も確認することを勧めます。
参考情報
- Palo Alto Networks: CVE-2026-0322公式アドバイザリ
- CISA: Known Exploited Vulnerabilities Catalog
- CISA: BOD 26-04
- Palo Alto Networks: 管理アクセス保護の推奨事項
2026年10月16日時点の公開情報に基づきます。
コメント