if ( !emtpy($headline_subheadline ) ) : ?>
Un bug de l’interface de gestion récemment révélé fait l’objet d’attaques limitées, et les agences fédérales doivent corriger et vérifier les pare-feu concernés avant le 17 octobre.
endif; ?>
Les attaquants exploitent une faille récemment révélée dans le logiciel pare-feu PAN-OS de Palo Alto Networks pour exécuter du code avec les privilèges root, et les agences fédérales américaines ont reçu l’ordre de la corriger et de vérifier toute compromission d’ici le 17 octobre.
Palo Alto Networks a révélé la vulnérabilité, identifiée comme CVE-2026-0322, dans un avis de sécurité publié le 14 octobre. La faille « permet à un attaquant authentifié ayant accès au réseau d’exécuter du code arbitraire avec les privilèges root sur le pare-feu », indique l’avis.
« Une exploitation très limitée a été observée ciblant l’interface de gestion de Palo Alto Networks », a indiqué la société. Il a noté la faille 8,6 sur l’échelle CVSS 4.0, ce qui correspond à une gravité élevée, et lui a attribué sa note d’urgence la plus élevée. La société l’a classé comme CWE-94, une faiblesse d’injection de code.
L’Agence américaine de cybersécurité et de sécurité des infrastructures a ajouté le même jour CVE-2026-0322 à son catalogue de vulnérabilités exploitées connues, citant des preuves d’exploitation active.
Triage médico-légal requis
L’entrée du catalogue indique que la faille nécessite un tri médico-légal en vertu de la directive opérationnelle contraignante 26-04. La directive « établit les attentes de base quant au moment où les agences doivent vérifier si les acteurs malveillants ont compromis le système avant l’application du correctif », a déclaré la CISA dans son alerte annonçant l’ajout.
L’entrée demande aux agences d’appliquer les mesures d’atténuation du fournisseur ou de cesser d’utiliser le produit si les mesures d’atténuation ne sont pas disponibles. Il répertorie l’utilisation de la faille dans les campagnes de ransomware comme inconnue.
Yih Khai Wong, directeur de recherche principal pour les services de sécurité chez IDC Asie/Pacifique, a déclaré que les équipes de sécurité devraient retracer qui peut accéder à l’interface de gestion en dehors d’un réseau fiable et examiner l’historique de connexion des administrateurs pour détecter toute activité inhabituelle. « Ils devraient également vérifier les configurations du pare-feu pour déceler tout changement inattendu, puisqu’un appareil compromis peut être reconfiguré en silence pour rester compromis », a-t-il déclaré.
« Les correctifs ne constituent qu’une partie de la réponse », a déclaré Vibhum Dubey, chercheur en cybersécurité et membre de l’équipe rouge. Il a déclaré que les équipes devraient vérifier Panorama et chaque pare-feu géré et conserver les preuves avant d’apporter des modifications.
Produits et correctifs concernés
La vulnérabilité affecte PAN-OS sur les pare-feu PA-Series et VM-Series et sur Panorama, sous forme virtuelle et M-Series, selon l’avis. Cloud NGFW et Prisma Access ne sont pas concernés.
« Aucune configuration spéciale n’est requise pour être affectée par ce problème », indique l’avis.
Palo Alto Networks a publié des versions corrigées pour PAN-OS 10.2, 11.1, 11.2, 12.1 et 12.2, avec des versions de correctifs répertoriées pour chaque ligne de maintenance. L’avis donnait une date de sortie estimée au 15 octobre pour PAN-OS 11.2.16, le chemin de mise à niveau pour les clients sur 11.2.14 et 11.2.15. Les clients utilisant des versions non prises en charge doivent passer à une version fixe prise en charge, indique l’avis de la société.
Wong a déclaré que l’accès à la gestion de tout appareil en attente d’un correctif devrait être verrouillé ou que des contrôles compensatoires devraient être appliqués sur l’appareil.
Comment les attaquants entrent-ils
L’avis ne précise pas comment les attaquants ont obtenu cet accès, quand l’exploitation a commencé, ni combien de clients ont été concernés.
« Le point d’entrée n’est probablement pas le bug lui-même, mais une mauvaise hygiène des accès à la gestion », a déclaré Wong. Il a cité des informations d’identification d’administrateur volées par phishing ou réutilisation, des interfaces de gestion laissées accessibles depuis Internet ou une compromission antérieure qui donnait à un attaquant des connexions valides.
« Une fois qu’ils peuvent exécuter du code en tant que root sur un pare-feu, ils contrôlent un appareil qui applique la sécurité sur l’ensemble du réseau », a déclaré Dubey.
Palo Alto Networks a déclaré que la faille avait été découverte en interne.
Aucune solution de contournement pour l’instant
« Aucune solution de contournement connue n’existe pour ce problème », indique l’avis.
Les clients disposant d’un abonnement Threat Prevention peuvent activer les identifiants de menace 510046 et 510047, qui, selon la société, offrent une couverture limitée et nécessitent un déchiffrement SSL. « Des variations peuvent exister qui ne peuvent pas être détectées actuellement », indique la FAQ de l’avis.
La société a déclaré que le risque « est plus élevé lorsque vous autorisez l’accès à l’interface de gestion à partir d’adresses IP externes sur Internet » et a recommandé de restreindre l’accès aux adresses IP internes de confiance.
Wong a déclaré que l’écart étroit est un avertissement car une boîte de saut ne fait que limiter ou ralentir l’accès et ne réduit pas les dommages causés par un intrus détenant des informations d’identification valides. « Les vrais risques sont la sécurité des identifiants et la détection des utilisations abusives après la connexion, et pas seulement la restriction de la porte d’entrée », a-t-il déclaré.
Wong a déclaré que les entreprises devraient demander aux fournisseurs pourquoi les interfaces de gestion continuent d’apparaître comme le point faible au lieu d’être verrouillées par défaut, comment elles détectent l’utilisation abusive d’informations d’identification d’administrateur valides et à quelle vitesse les correctifs parviennent à chaque version prise en charge. « Jusqu’à ce que chaque version concernée soit couverte, les systèmes de production restent exposés », a-t-il déclaré.
« Si un attaquant prend le contrôle d’un pare-feu, les organisations ont besoin d’un moyen clair pour déterminer si l’appareil est toujours fiable », a déclaré Dubey. Palo Alto Networks n’a pas immédiatement répondu à une demande de commentaire.
