Palo Alto Networks、PAN-OSの脆弱性 CVE-2026-0310を修正　PA-Seriesで未認証root RCE、VM-SeriesはDoS

Palo Alto Networksは2026年9月9日、PAN-OSのXML処理機能に存在するバッファオーバーフロー脆弱性「CVE-2026-0310」を公表しました。

PA-Seriesハードウェアファイアウォールでは、管理Webインターフェースまたはデータプレーンインターフェースへネットワークアクセスできる未認証の攻撃者が、root権限で任意コードを実行できる可能性があります。一方、VM-Seriesで確認されている影響はサービス拒否（DoS）です。

Panoramaも影響を受けます。また、Cloud NGFW（AWS／Azure）とPrisma Accessにも影響がありますが、これらのクラウドサービスでは悪用に認証済みユーザーが必要で、外部からのネットワークアクセスも制限されているため、Palo Alto NetworksはリスクをMediumと評価しています。

Palo Alto Networksは9月9日時点で、CVE-2026-0310が悪意ある攻撃で悪用された事実を把握していません。既知の回避策はなく、修正版へのアップデートが恒久対応です。管理インターフェースへのアクセスを信頼できる内部IPアドレスやジャンプホストに限定することで、悪用リスクを低減できます。

CVE-2026-0310のサマリー

確認できている内容：

• Palo Alto Networksは2026年9月9日、CVE-2026-0310を公表しました。
• 脆弱性はPAN-OSのXML処理機能に存在するバッファオーバーフローです。
• CWEはCWE-787（Out-of-bounds Write）です。
• PA-Seriesでは、未認証の攻撃者がroot権限で任意コードを実行できる可能性があります。
• VM-Seriesでは、未認証の攻撃者がDoSを引き起こせる可能性があります。
• 攻撃には、管理Webインターフェースまたはデータプレーンインターフェースへのネットワークアクセスが必要です。
• 特別な設定を有効にしなくても影響を受けます。
• Panoramaも影響を受けます。
• PAN-OS 10.2、11.1、11.2、12.1、12.2の複数バージョンが影響します。
• Cloud NGFW on AWS／Azureも影響を受けます。
• Prisma Access 10.2、11.2、12.1の一部バージョンも影響します。
• Cloud NGFWとPrisma Accessは、悪用に認証が必要なためMedium評価です。
• Palo Alto Networksは修正版を公開済みです。
• 既知の回避策はありません。
• Palo Alto Networksは悪意ある実攻撃での悪用を把握していません。
• 脆弱性はPalo Alto Networks内部のセキュリティ研究チームが発見しました。

現時点で確認できていない内容：

• 実際の攻撃での悪用
• 攻撃者や攻撃キャンペーン
• 公開された武器化済みPoC
• 侵害確認用の専用IOC
• CISA Known Exploited Vulnerabilities（KEV）Catalogへの掲載

項目	内容
CVE	CVE-2026-0310
公表日	2026年9月9日
対象	PAN-OS、Panorama、Cloud NGFW、Prisma Access
脆弱性	XML処理機能のバッファオーバーフロー
CWE	CWE-787
Palo Alto NetworksのSeverity	HIGH
Suggested Urgency	HIGHEST
PA-Series	未認証でroot権限の任意コード実行
VM-Series	未認証でDoS
Cloud NGFW／Prisma Access	認証が必要、Medium評価
攻撃経路	管理Webまたはデータプレーンインターフェースへのネットワークアクセス
特別な設定	不要
実悪用	Palo Alto Networksは把握していない
回避策	既知の回避策なし
恒久対策	修正版へアップデート

PA-Seriesでは未認証でroot権限のコード実行が可能

CVE-2026-0310は、PAN-OSのXML処理機能に存在する境界外書き込みの脆弱性です。

Palo Alto Networksによると、PA-Seriesハードウェアファイアウォールでは、管理Webインターフェースまたはデータプレーンインターフェースへ到達できる未認証の攻撃者が、脆弱性を悪用してroot権限で任意コードを実行できる可能性があります。

PA-Seriesに対するCVSS v4.0のBase Scoreは9.2です。

一方、Palo Alto NetworksはExploit Maturityを「UNREPORTED」としており、実悪用が確認されていないことなどを反映したCVSS-BT（Base + Threat）を7.2、SeverityをHIGHとしています。

したがって、「CVSS 9.2のCritical」とだけ表現すると、Palo Alto Networksが現在設定している脅威情報込みの重大度評価と異なります。

本稿では次のように分けて扱います。

指標	PA-Series
CVSS v4.0 Base Score	9.2
CVSS-BT	7.2
Palo Alto Networks Severity	HIGH
Suggested Urgency	HIGHEST
Exploit Maturity	UNREPORTED

攻撃が成立した場合の権限がrootであるため、PA-Seriesを運用している組織では修正版の適用状況を優先して確認する必要があります。

VM-Seriesで確認されている影響はDoS

VM-SeriesもCVE-2026-0310の影響を受けますが、Palo Alto Networksが示している影響はPA-Seriesとは異なります。

VM-Seriesでは、未認証の攻撃者がネットワーク経由で脆弱性を悪用し、サービス拒否（DoS）を引き起こす可能性があります。

Palo Alto NetworksはVM-Seriesについて、CVSS v4.0 Base Scoreを8.7、CVSS-BTを6.6、SeverityをMediumとしています。

公式アドバイザリは、VM-Seriesでroot権限の任意コード実行が可能とは説明していません。

そのため、「PAN-OS搭載ファイアウォールすべてで未認証root RCE」と一括して扱うのは正確ではありません。

Cloud NGFWとPrisma Accessは認証が必要

Cloud NGFW on AWS／AzureとPrisma Accessも影響対象です。

ただし、Palo Alto Networksによると、これらのサービスでは悪用に認証済みユーザーが必要で、外部からのネットワークアクセスも制限されています。

このため、Cloud NGFWとPrisma AccessについてはCVSS v4.0 Base Score 7.5、CVSS-BT 4.8、Severity Mediumと評価されています。

Cloud NGFWはAWS、Azureとも現在の全バージョンが影響対象として掲載されています。

Palo Alto Networksは、Cloud NGFWとPrisma Accessの顧客環境を次回の予定されたメンテナンスサイクルでアップグレードするとしています。

予定より前に更新したい顧客は、Palo Alto Networks Supportまたは担当アカウントチームへ連絡し、オンデマンドのアップグレードウィンドウを設定できます。

PanoramaもCVE-2026-0310の影響を受ける

Palo Alto Networksは公式アドバイザリで、PanoramaもCVE-2026-0310の影響を受けると明記しています。

Panoramaは複数のPalo Alto Networksファイアウォールを集中管理するために利用されるため、管理ネットワーク側の露出状況も確認対象です。

Palo Alto Networksの管理アクセスに関するベストプラクティスでは、Panoramaを含む管理インターフェースをインターネットへ直接公開せず、専用の管理ネットワーク内からのみ到達できる構成を推奨しています。

影響を受けるPAN-OSバージョン

公式アドバイザリでは、PAN-OS 10.2、11.1、11.2、12.1、12.2の複数のリリース系統が影響対象です。

主な修正境界は次のとおりです。

PAN-OS 12.2

• 12.2.3以降：修正済み
• 12.2.3未満：影響

PAN-OS 12.1

修正済みの主な系統：

• 12.1.4-h10以降
• 12.1.7-h5以降
• 12.1.10以降

PAN-OS 11.2

修正済みの主な系統：

• 11.2.4-h21以降
• 11.2.7-h20以降
• 11.2.10-h14以降
• 11.2.13-h2以降

PAN-OS 11.1

修正済みの主な系統：

• 11.1.4-h36以降
• 11.1.6-h38以降
• 11.1.7-h10以降
• 11.1.10-h33以降
• 11.1.13-h12以降
• 11.1.16-h2以降

PAN-OS 10.2

修正済みの主な系統：

• 10.2.7-h37以降
• 10.2.10-h40以降
• 10.2.13-h24以降
• 10.2.16-h10以降
• 10.2.18-h10以降

古いサポート終了済みPAN-OSについては、Palo Alto Networksは修正版が存在するサポート対象バージョンへの更新を案内しています。

同社のリリースノートでも、例えばPAN-OS 11.2.13-h2と12.1.10でCVE-2026-0310の修正が含まれることを確認できます。

Prisma Accessの修正版

Prisma Accessについて、公式アドバイザリで示されている修正境界は次のとおりです。

Prisma Access系統	修正版
12.1	12.1.7-h5以降
11.2	11.2.7-h20以降
10.2	10.2.10-h40以降

Cloud NGFWとPrisma Accessでは、Palo Alto Networks側が予定メンテナンスでアップグレードを進めます。

企業側では、自社で直接PAN-OSを更新する環境なのか、Palo Alto Networks側のマネージドアップグレード対象なのかを分けて確認します。

特別な設定がなくても影響

Palo Alto Networksは「Required Configuration for Exposure」で、CVE-2026-0310の影響を受けるために特別な設定は必要ないとしています。

これはGlobalProtectや特定の追加機能を有効にした環境だけに限定される脆弱性ではありません。

ただし、実際の悪用には管理Webインターフェースまたはデータプレーンインターフェースへのネットワークアクセスが必要です。

そのため、インターフェースへの到達可能性はリスクを左右します。

管理インターフェースを信頼済みIP・ジャンプホストへ限定するとリスクを低減

Palo Alto Networksは、管理インターフェースへのアクセスを信頼できる内部IPアドレスだけに制限することで、CVE-2026-0310の悪用リスクを低減できるとしています。

さらに、ジャンプホストだけが管理インターフェースへアクセスできる構成にすると、PA-Seriesに対するCVSS-BT評価は5.2まで低下すると示しています。

同社のAdministrative Access Best Practicesでは、次の構成を推奨しています。

• 管理インターフェースをインターネットへ直接公開しない
• 専用の管理ネットワークへ分離する
• 外部からの管理はVPNとジャンプホスト／bastion hostを経由する
• 管理インターフェースへ到達できるIPアドレスを制限する
• 管理者アクセスにMFAを要求する
• 必要な管理サービスだけを有効化する
• 管理トラフィックをログへ記録する

PAN-OSのManagement Interface Settingsでは「Permitted IP Addresses」を設定できます。

Palo Alto Networksは、許可IPリストが空の場合はIPアドレスによる制限が行われないため、必要な管理端末やジャンプホストのIPアドレスを明示的に登録することを推奨しています。

ただし、これは恒久的な修正ではありません。

CVE-2026-0310の公式アドバイザリは「No known workarounds exist」としているため、管理インターフェースの制限はリスク低減策として扱い、修正版へのアップデートを別途実施します。

Palo Alto Networksは実悪用を把握せず

9月9日時点で、Palo Alto NetworksはCVE-2026-0310が悪意ある攻撃で悪用されている事実を把握していません。

公式アドバイザリのExploit Maturityは「UNREPORTED」です。

CISA Known Exploited Vulnerabilities Catalogについても、9月10日時点でCVE-2026-0310の掲載は確認できませんでした。

また、Palo Alto Networksは今回の脆弱性を内部のセキュリティ研究チームが発見・報告したとしています。

したがって、現時点でCVE-2026-0310を「ゼロデイ攻撃で悪用中」「攻撃者がすでに侵入に利用している」と表現できる一次情報はありません。

2026年にはPAN-OSの別の未認証RCEも実攻撃で悪用

PAN-OSでは2026年5月にも、User-ID Authentication Portalに存在するバッファオーバーフロー脆弱性CVE-2026-0300が修正されています。

CVE-2026-0300ではPA-SeriesとVM-Seriesの両方で未認証のroot権限コード実行が可能で、Palo Alto Networksは実際の攻撃での悪用を確認しました。

• Palo Alto PAN-OSのゼロデイ脆弱性CVE-2026-0300、ハッカーがサイバー攻撃に悪用

また、GlobalProtectの認証回避脆弱性CVE-2026-0257も2026年に実攻撃で悪用されています。

• Palo Alto Networks PAN-OSの脆弱性が公開4日後にサイバー攻撃に悪用（CVE-2026-0257）

今回のCVE-2026-0310については、これらの過去事例とは異なり、9月9日時点で実悪用は確認されていません。

情報システム部門・ネットワーク管理者が確認したいポイント

Palo Alto Networks製品を運用している組織では、製品名だけでなく、PA-Series／VM-Series／Panorama／Prisma Access／Cloud NGFWを分けて確認します。

• PA-Series、VM-Series、Panoramaの利用状況を一覧化できるか
• PAN-OSの正確なバージョンとhotfix番号を確認できるか
• 各リリース系統の修正済みバージョン以上になっているか
• サポート終了済みPAN-OSが残っていないか
• 管理Webインターフェースをインターネットへ直接公開していないか
• 管理インターフェースのPermitted IP Addressesが空になっていないか
• 管理アクセスをジャンプホストや専用管理ネットワークへ限定しているか
• データプレーン側で管理機能を有効にしているインターフェースを把握しているか
• Interface Management Profileで不要なHTTP／HTTPS／SSH等を有効にしていないか
• Panoramaの管理インターフェースも同じ基準で制限しているか
• Prisma Access／Cloud NGFWのアップグレード予定を確認したか
• 更新できない環境について、管理インターフェースへの到達範囲を一時的に縮小できるか
• 更新後、実際の稼働バージョンを再確認できるか

CVE-2026-0310では既知の回避策がありません。

管理インターフェース制限は攻撃面を縮小するための対策ですが、修正版への更新を代替するものではありません。PA-Seriesではroot権限の任意コード実行につながるため、脆弱なバージョンを確認した場合は、運用中のリリース系統に対応する修正版への更新計画を確認します。

出典

• CVE-2026-0310 PAN-OS: Buffer Overflow Vulnerability via XML Processing – Palo Alto Networks
• PAN-OS 11.2.13-h2 Addressed Issues – Palo Alto Networks
• PAN-OS 12.1.10 Addressed Issues – Palo Alto Networks
• Deploy Administrative Access Best Practices – Palo Alto Networks
• Configure the Management Interface Settings – Palo Alto Networks
• Use Interface Management Profiles to Restrict Access – Palo Alto Networks
• Known Exploited Vulnerabilities Catalog – CISA