شرکت Palo Alto Networks هشدار داد که مهاجمان در حال سوءاستفاده از یک آسیب‌پذیری با شدت بالا برای اجرای کد از راه دور (Remote Code Execution – RCE) در رابط مدیریت (Management Interface) سیستم‌عامل PAN-OS هستند.
جزئیات فنی و دامنه اثرگذاری
این نقص امنیتی که با شناسه CVE-2026-0322 ردیابی می‌شود، به یک مهاجم احراز هویت شده (Authenticated) که دسترسی شبکه دارد اجازه می‌دهد تا کدهای دلخواه خود را با دسترسی‌های سطح root روی فایروال اجرا کند. این آسیب‌پذیری از نوع تزریق کد (Code Injection) است و تحت دسته‌بندی‌های CWE-94 و CAPEC-242 قرار می‌گیرد.
- سیستم‌های متأثر: فایروال‌های سری PA-Series و VM-Series و همچنین Panorama (نسخه‌های مجازی و M-Series).
- سیستم‌های ایمن: سرویس‌های Cloud NGFW و Prisma Access تحت تأثیر این نقص نیستند.
سنجش شدت و ریسک
امتیاز CVSS 4.0 این آسیب‌پذیری بسته به میزان مواجهه (Exposure) متفاوت است. اگر رابط مدیریت از طریق شبکه یا اینترنت در دسترس باشد، امتیاز آن به 8.6 می‌رسد و در صورتی که دسترسی تنها به یک شبکه مجاور (مانند Jump Box) محدود باشد، امتیاز 8.5 را دریافت می‌کند. در هر دو حالت، تأثیر بر محرمانگی (Confidentiality)، یکپارچگی (Integrity) و در دسترس بودن (Availability) در سطح High ارزیابی شده است.
بر اساس گزارش Palo Alto، موارد محدودی از سوءاستفاده فعال (Active Exploitation) مشاهده شده است. ریسک در مواردی که رابط مدیریت در معرض IPهای خارجی باشد، در بالاترین سطح است.
راهکارهای مقابله و رفع آسیب‌پذیری
از آنجایی که برای اکسپلویت این نقص به احراز هویت نیاز است، احتمالاً عامل تهدید از اعتبارنامه‌های (Credentials) سرقتی یا ضعیف استفاده می‌کند. توصیه می‌شود مدیران شبکه اقدامات زیر را سریعاً انجام دهند:
- به‌روزرسانی: نصب Hotfix مربوط به نسخه فعلی یا ارتقا به آخرین ریلیز پشتیبانی شده.
- محدودسازی دسترسی: مسدود کردن دسترسی اینترنتی به رابط مدیریت و اجازه دسترسی تنها به IPهای داخلی مورد اعتماد یا یک Jump Box سخت‌افزاری شده.
- مدیریت دسترسی‌ها: چرخش (Rotate) اعتبارنامه‌های مدیران و بررسی حساب‌ها برای شناسایی هرگونه دسترسی غیرمجاز.
- تحلیل لاگ‌ها: بررسی لاگ‌های مدیریت برای شناسایی ورودهای غیرعادی، تغییرات در پیکربندی یا فرآیندهای مشکوک.
برای مشتریانی که دارای اشتراک Threat Prevention هستند، فعال‌سازی Threat IDهای 510046 و 510047 پوشش محدودی را فراهم می‌کند، مشروط بر اینکه ترافیک پورت MGT از طریق یک پورت Data-plane (DP) هدایت شده و رمزگشایی SSL (SSL Decryption) فعال باشد.
