Palo Alto Networks 于 2026 年 10 月 14 日发布安全公告并推送补丁，修复 PAN-OS 操作系统管理界面中的远程代码执行漏洞 CVE-2026-0322，CVSS 4.0 评分为 8.6。攻击者在持有有效管理员凭据、且能够访问设备管理界面的条件下，可以以 root 权限在防火墙上执行任意代码。厂商表示已观测到「非常有限」的在野利用，CISA 同日将其列入 KEV 目录，联邦民事机构整改期限为 10 月 17 日。
事件概述
受影响产品为运行 PAN-OS 的 PA-Series 与 VM-Series 防火墙，以及 Panorama 虚拟设备与 M-Series 管理设备；云侧服务 Cloud NGFW 与 Prisma Access 不受影响。漏洞由厂商内部发现，报告人署名为高级首席产品安全研究员 Suraj Siddharudh。厂商未披露利用起始时间与攻击者身份，也未说明被攻击设备是否已被用来进入内网，同时公布了三个与利用尝试相关的 IP：66.42.72[.]14、208.83.239[.]114、149.248.47[.]234。需要说明的是，这与早前披露的 PAN-OS 漏洞 CVE-2026-0300 并非同一问题。
技术细节
CVSS 4.0 向量为 AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H，弱点类型为 CWE-94 代码注入。PR:H 表示攻击者需要高权限认证，也就是设备上的一个合法管理员会话。单独看这一点，很容易让人把它排到「下一个维护窗口再打」的队列，但两个事实推翻这种判断：第一，它已经在被利用，公告原文写明观测到针对管理界面的有限利用，CISA 的 SSVC 评估把利用状态记为 active；第二，防火墙上的管理员权限是全局性的，取得 root 意味着掌控流量检测、VPN 会话与设备上保存的全部密钥。
真正需要回答的不是 CVSS 分值，而是攻击者如何拿到 PR:H。常见来源包括窃取的管理员凭据、被劫持的会话、被钓鱼的操作员账号，以及从历史泄露中复用的口令。把这件事从「内部人问题」升级为「互联网问题」的关键，是管理界面本身可从非信任网络访问——厂商已多次要求客户不要把管理接口暴露在公网，而仍在管理界面上观测到利用尝试，说明确有接口处于可达状态。
影响评估
厂商在公告中表示利用「非常有限」，未公布受害数量。但从影响维度看，失陷的防火墙不是普通终端，而是网络流量的咽喉节点：攻击者可关闭或篡改策略、窃取 IPsec/SSL VPN 密钥材料、长期监听流量。厂商明确表示没有可用的绕过方案，这进一步抬高了处置优先级。
修复建议
1. 升级到各版本线的最低修复构建：10.2 升级至 10.2.18-h12，11.1 升级至 11.1.16-h3，11.2 升级至 11.2.16，12.1 升级至 12.1.10-h2，12.2 升级至 12.2.4。仍在不受支持旧版本上的设备必须立即迁移。
2. 收敛管理面暴露：把管理界面的访问限制在可信内网地址，推荐在其前置跳板机，只允许跳板机访问管理接口。这一步即使已打补丁也应当完成。
3. 排查与加固：在防火墙、管理界面与网络日志中检索上文三个 IP，同时排查异常的管理员登录；轮换管理员凭据，审查本地账号与 API 密钥。
4. 若订阅了 Threat Prevention，可启用厂商发布的签名。但公告提示这些签名仅提供有限防护，可能无法识别变种利用，不能替代升级。
show system info | match sw-version
show admins