Faille de sécurité dans un logiciel de pare-feu révélée

Palo Alto Networks a publié des correctifs pour une vulnérabilité critique dans PAN-OS, le système d'exploitation de ses pare-feu, qui permet à un attaquant disposant d'un accès privilégié d'exécuter du code avec les privilèges les plus élevés sur les appareils concernés. La faille, identifiée sous la référence CVE-2026-0322, a été rendue publique mercredi 14 octobre, alors que des tentatives d'exploitation avaient déjà été observées.

Des attaquants liés à des adresses IP précises

Palo Alto Networks a identifié trois adresses IP associées à des tentatives d'attaque : 66.42.72[.]14, 208.83.239[.]114 et 149.248.47[.]234. Toutefois, l'entreprise n'a pas précisé l'identité des attaquants ni si ces tentatives ont abouti à la compromission d'appareils.

Une faille qui touche l'interface d'administration

La vulnérabilité affecte l'interface de gestion de PAN-OS, utilisée par les administrateurs pour configurer les pare-feu et surveiller leur fonctionnement. Elle permet d'injecter du code dans le système et de l'exécuter avec les privilèges root, le niveau d'autorisation le plus élevé. Un pirate pourrait ainsi intervenir directement sur le système d'exploitation de l'appareil, au-delà des fonctions normalement accessibles par son interface d'administration.

Une exploitation soumise à des conditions précises

Toutefois, l'exploitation requiert deux conditions : l'attaquant doit déjà disposer d'un accès authentifié avec des privilèges élevés et pouvoir communiquer avec l'interface de gestion via le réseau. La faille ne permet donc pas de prendre le contrôle d'un pare-feu sans identifiants, contrairement à d'autres vulnérabilités découvertes cette année. Elle représente néanmoins un risque important lorsqu'un compte privilégié a été compromis, en particulier si l'interface d'administration est accessible depuis un réseau peu fiable.

Gravité et versions concernées

Palo Alto Networks attribue à la CVE-2026-0322 un score de gravité de 8,6 sur 10 et confirme avoir observé une exploitation très limitée. La vulnérabilité touche plusieurs générations de PAN-OS, les versions 10.2 à 12.2, sur les pare-feu physiques de la gamme PA-Series, les modèles virtuels VM-Series et les appliances Panorama utilisées pour l'administration centralisée. Les services Cloud NGFW et Prisma Access ne sont pas concernés.

Correctifs et stratégies d'atténuation

Pour les entreprises concernées, la priorité est donnée aux mises à jour. Palo Alto Networks a publié des correctifs pour les différentes versions vulnérables. Celui destiné à PAN-OS 11.2.16 est annoncé pour ce jeudi 15 octobre. L'éditeur recommande également de restreindre l'accès aux interfaces d'administration aux seules adresses IP internes de confiance ou à un serveur dédié, afin d'empêcher les connexions depuis des réseaux non autorisés.

Mesures de détection et de réponse

Les entreprises abonnées à Threat Prevention disposent également de deux signatures de détection, référencées 510046 et 510047. Toutefois, leur efficacité dépend de la configuration de l'inspection du trafic chiffré, et leur couverture se limite aux méthodes d'attaque déjà identifiées. Elles ne remplacent donc pas les correctifs.

Étapes d'investigation après une attaque

Enfin, en cas de suspicion d'intrusion, examinez les journaux de connexion et les éventuelles modifications de configuration sur vos appareils. Vérifiez également si l'une des trois adresses IP signalées par Palo Alto Networks apparaît dans les journaux. En cas de compromission avérée, l'installation du correctif ne garantit pas l'élimination d'une éventuelle présence malveillante. Il faudra alors préserver les éléments utiles à l'enquête, avant d'envisager, selon les résultats de l'analyse, une réinitialisation complète des appareils physiques ou un redéploiement des instances virtuelles.