In einem am Mittwoch veröffentlichten Sicherheitshinweis bestätigte das Unternehmen, Angriffe beobachtet zu haben: „Es wurde eine sehr begrenzte Ausnutzung beobachtet, die auf die Verwaltungsoberfläche von Palo Alto Networks abzielt.“ Die Schwachstelle erhielt einen Schweregrad von 8.6.

Betroffen sind Firewalls der PA-Serie und der VM-Serie sowie virtuelle Panorama-Instanzen und Appliances der M-Serie. Cloud NGFW und Prisma Access sind nach Herstellerangaben nicht betroffen. Für einen Angriff benötigen Angreifer bereits vorhandene Zugangsdaten sowie Netzwerkzugriff auf die Management-Schnittstelle. Palo Alto Networks empfiehlt daher, den Zugriff auf die Verwaltungsoberfläche ausschließlich auf vertrauenswürdige interne IP-Adressen zu beschränken.

Korrekturen liegen für die betroffenen Versionsstränge PAN-OS 10.2, 11.1, 11.2, 12.1 und 12.2 vor. Ein Fix für PAN-OS 11.2.16 soll am 15. Oktober folgen. Kunden, die ältere, nicht mehr unterstützte Versionen einsetzen, müssen auf eine unterstützte Ausgabe wechseln.

Workarounds sind laut Hersteller nicht bekannt. Kunden mit einem Threat-Prevention-Abonnement können jedoch Signaturen aktivieren, die begrenzten Schutz gegen bekannte Angriffsmuster bieten. „Begrenzte Abdeckung in Threat Prevention bedeutet, dass bekannte Angriffsmuster zwar mit der aktuellen Threat ID erkannt werden können, es aber Varianten geben kann, die derzeit nicht erkannt werden“, warnt das Unternehmen. „Wenn diese CVE und die für eine Gefährdung erforderliche Konfiguration Ihre Umgebung betreffen, empfehlen wir ein Upgrade auf eine nicht betroffene Version.“

Entdeckt wurde die Schwachstelle intern von Suraj Siddharudh, Senior Principal Product Security Researcher bei Palo Alto Networks. Das Unternehmen nannte zudem drei IP-Adressen, von denen aus die Lücke ausgenutzt wurde:

  • 66.42.72[.]14
  • 208.83.239[.]114
  • 149.248.47[.]234

Die US-Cybersicherheitsbehörde CISA hat CVE-2026-0322 inzwischen in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und verpflichtet zivile US-Bundesbehörden, die Lücke bis zum 17. Oktober zu beheben.

Offen ist bislang, wann die Ausnutzung begann, wer hinter den Angriffen steht und ob Angreifer Firewalls kompromittiert oder über sie interne Netzwerke erreicht haben.