Palo Alto 修复PAN-OS RCE 漏洞，可导致任意代码执行

该公司在2026 年 11 月 11 日发布公告，敦促用户修复受影响的 Panorama 部署，Cloud NGFW、Prisma Access 和独立的 PAN-OS 防火墙不受影响。

Palo Alto Networks 表示未发现恶意利用行为，并提到该漏洞由公司内部研究员 Daniel Voce 发现并报送。该漏洞被归类为 CWE-94，即代码注入弱点。成功利用该漏洞可让管理员以 root 权限运行代码，而不是停留在正常的管理限制内。已发布的评估将高权限列为利用条件，并表示不需要用户交互。

受影响的 Panorama 安装不需要特殊配置就易受攻击，不过利用该漏洞需要管理员身份验证和网络访问权限。它并非互联网上任何人都能直接对可访问系统发起的未认证攻击。

Palo Alto Networks 公司将该漏洞评为中危级别，CVSS 威胁评分为 6.1，基础评分为 8.6。供应商列出的紧迫性为中等，但警告称当允许从外部互联网地址进行管理访问时风险最高。

该漏洞与之前报告的 PAN-OS root 代码执行漏洞 CVE-2026-0322 无关。后者已存在利用报告。这些攻击不应被视为攻击者正在利用这个新披露的 Panorama 漏洞的证据。

修复方案覆盖 Panorama 上的 PAN-OS 12.2、12.1、11.2、11.1 和 10.2 版本。对于每个分支中列出的最新维护线，修复版本包括 12.2.4-h2、12.1.10-h4、11.2.16-h2、11.1.16-h5 和 10.2.18-h14。管理员应使用公告中针对自身已安装版本的升级指南。

早期维护线也获得额外修复方案。PAN-OS 12.1 的选项包括 12.1.4-h14 和 12.1.7-h12。PAN-OS 11.2 的选项包括 11.2.4-h24、11.2.7-h24、11.2.10-h18 和 11.2.13-h5。单独的修复程序还涵盖较旧的 11.1 和 10.2 维护版本。

不受支持的版本应迁移到受支持的修复版本。目前不存在可以修复底层问题的应变方法。Palo Alto Networks 公司建议仅允许受信任的内部 IP 地址访问管理权限。该公司在管理安全指南中警告不要将防火墙或 Panorama 管理接口暴露到互联网或其它不受信任的网络。将访问限制到专用跳板机可以进一步减少暴露面。之前关于被暴露的 PAN-OS 管理接口的报道强调了为什么这个边界值得关注。虽然访问限制可以降低风险，但不能替代安全更新。