Palo Alto Networks「PAN-OS」にroot権限でコード実行される脆弱性、サイバー攻撃で悪用確認―CVE-2026-0322

Palo Alto Networksは2026年10月14日、ファイアウォール向けOS「PAN-OS」の管理インターフェースに、認証済みの攻撃者がroot権限で任意のコードを実行できる脆弱性「CVE-2026-0322」が存在すると公表しました。同社は管理インターフェースを狙った実際の攻撃について、限定的な悪用を観測したとしています。

米国サイバーセキュリティ・社会基盤安全保障庁（CISA）も同日、CVE-2026-0322を「Known Exploited Vulnerabilities（KEV）」カタログに追加しました。影響製品を利用する企業では、管理画面の到達可能範囲とPAN-OSの修正状況を確認し、侵害痕跡の調査とアップデートを進める必要があります。

CVE-2026-0322のサマリー

• 公表日：2026年10月14日
• 製品・脆弱性：Palo Alto Networks PAN-OS、管理インターフェースのコードインジェクションによるリモートコード実行（RCE）
• CVE：CVE-2026-0322、CWE-94
• 深刻度：High、CVSS v4.0基本値8.6。メーカーの推奨対応緊急度は「HIGHEST」
• 攻撃条件：有効な認証情報（高い権限）と管理インターフェースへのネットワークアクセスが必要
• 想定される影響：ファイアウォール上でroot権限の任意コード実行
• 対象：PA-Series、VM-Series、Panorama（仮想版・M-Series）。Cloud NGFWおよびPrisma Accessは対象外
• 実悪用：メーカーが「ごく限定的な悪用」を確認、Exploit Maturityは「ATTACKED」
• CISA KEV：2026年10月14日追加。米連邦文民行政機関向けの対応期限は10月17日
• 恒久対策：利用しているPAN-OS系統に対応した修正版へ更新。既知の完全な回避策はなし

管理インターフェースに存在するコード実行の脆弱性

CVE-2026-0322は、PAN-OSの管理インターフェースに存在するリモートコード実行の脆弱性です。攻撃者は、管理インターフェースへのネットワークアクセスと、必要な権限を持つ認証済みアカウントを利用することで、ファイアウォール上でroot権限のコードを実行できる可能性があります。

認証を必要とする点は、認証なしで外部から攻撃できる脆弱性とは異なります。ただし、管理者の認証情報がすでに侵害されている場合や、インターネットなど信頼できないネットワークから管理インターフェースに接続できる場合には、脆弱性悪用のリスクが高まります。

Palo Alto Networksは、管理インターフェースが外部のIPアドレスに公開されている環境でリスクが最も高くなると説明しています。一方、脆弱性の影響を受けるために特別な設定を有効化する必要はありません。管理ポートの非公開化だけでソフトウェアの脆弱性そのものが解消されるわけではないため、修正版への更新が恒久対策となります。

管理インターフェースからroot権限で任意のコードが実行されると、ネットワーク境界に置かれたファイアウォール自体の制御を奪われるおそれがあります。ただし、今回の攻撃で個別の利用企業の内部ネットワークへの侵入や情報窃取が確認されたとメーカーが発表したわけではありません。

影響を受ける製品と修正版PAN-OSのバージョン

対象となるのは、PA-Seriesハードウェアファイアウォール、VM-Series仮想ファイアウォール、Panoramaの仮想版およびM-Seriesアプライアンスです。Cloud NGFWとPrisma Accessは本脆弱性の影響を受けません。

Palo Alto Networksが10月14日付アドバイザリで示した修正済みバージョンは以下のとおりです。同じメジャー系統でもマイナーバージョン・hotfixごとに修正水準が異なるため、表の数字だけで別のブランチを一律比較しないでください。

11.2.16については、10月14日付のメーカー情報では10月15日リリース予定とされています。配信開始を確認できるまでは、公開済みの修正済みhotfixやメーカーの最新案内を基準にしてください。サポートが終了した旧PAN-OSは、サポート対象の修正版への移行が案内されています。

導入環境では、ファイアウォールごとの機種名・バージョンに加え、Panoramaの稼働環境も含めて管理台帳と照合してください。メーカーの表には複数の修正経路があるため、アップデート先は互換性、保守契約、推奨リリースも踏まえて選定します。

Palo Alto Networksが実悪用を確認、CISAもKEVに登録

Palo Alto Networksは、管理インターフェースに対する「ごく限定的な悪用」を確認したと公表しています。アドバイザリのExploit Maturityは「ATTACKED」、対応緊急度は「HIGHEST」です。脆弱性自体は同社内部の研究者Suraj Siddharudh氏が発見・報告しました。

CISAが2026年10月14日に公開したKEVカタログのデータにも、CVE-2026-0322が追加されています。米国の連邦文民行政機関（FCEB）については、対応期限が同月17日とされています。これは米国政府機関向けの指示であり、日本の民間企業に一律に適用される法定期限ではありません。ただし、実悪用の証拠がある脆弱性として、自社の公開状況を踏まえた優先対応の根拠となります。

また、CISAの公開データは当該CVEについてフォレンジック調査の対象であることを示しています。更新プログラムを適用するだけでなく、修正前に悪用されていなかったかを確認することが必要です。

攻撃活動に関連付けられたIPアドレス

Palo Alto Networksは、今回の脆弱性を標的とした攻撃活動や限定的な悪用試行に関連するものとして、次の3つのIPアドレスを公開しました。

• 66.42.72[.]14
• 208.83.239[.]114
• 149.248.47[.]234

いずれも、当該IPアドレスとの通信があったという事実だけで侵害を断定できるものではありません。管理インターフェースのアクセス・認証ログや管理操作の履歴と突き合わせて確認するための指標として扱います。IPアドレスの一覧だけで攻撃を網羅できるわけでもありません。

アップデートと管理画面のアクセス制限が対策の中心

Palo Alto Networksは、影響を受けるバージョンを修正版へ更新するよう推奨しています。既知の完全な回避策はありません。

更新までのリスク低減策として、管理インターフェースへの接続元を信頼できる内部IPアドレスのみに制限し、踏み台サーバー（ジャンプボックス）経由に限定する構成を案内しています。インターネットへの管理画面公開が必要かを見直し、管理アクセス許可リストと認証済みアカウントを点検します。外部公開をやめても、すでに侵害されていた場合の影響調査は別途必要です。

Threat Preventionの契約者には、Applications and Threatsコンテンツ「9159-10287」以降でThreat ID「510046」「510047」による限定的な検知・防御も提供されています。ただし、これらを有効にするだけで十分ではありません。メーカーは、管理用通信をデータプレーン（DP）インターフェース経由にし、管理画面への着信通信のSSL復号、Threat Preventionによる検査などの条件を示しています。未検知の攻撃パターンが存在する可能性があるため、シグネチャは修正パッチの代替にはなりません。

情報システム部門・CSIRTが確認したい点

実悪用が確認されているため、ネットワーク機器の更新と侵害調査を並行して進める運用が適しています。

1. 対象機器の確認：PA-Series、VM-Series、PanoramaについてPAN-OSの正確なバージョンとhotfix、管理インターフェースの接続元・公開状況を洗い出す。
2. ログと設定の保全：管理インターフェースのアクセスログ、認証ログ、管理者の操作記録、設定変更履歴など、調査に必要な証跡を保存する。保存範囲は自社のインシデント対応手順とベンダーの支援内容に合わせる。
3. 不審な管理アクセスの調査：通常と異なる送信元、時間帯、管理者アカウント、設定変更を確認する。メーカー公表の3つのIPアドレスは補助的な手掛かりとして照合する。
4. 接続制限と修正：信頼済みの管理経路に限定し、該当バージョンを修正版へ更新する。機器単位で適用結果を検証する。
5. 侵害疑いがある場合：CSIRTや保守ベンダーと連携して影響範囲を調査し、必要に応じて管理者の認証情報や連携アカウントを変更する。設定の真正性、関連システムへの不正な操作がないかも確認する。

今回の脆弱性は、9月に公表された別のPAN-OS脆弱性「CVE-2026-0310」とは異なります。また、GlobalProtectの認証回避脆弱性「CVE-2026-0257」とも攻撃条件が異なります。対応状況の記録では、CVE番号を混同しないよう区別してください。

多数のネットワーク機器に対する対応順の決定には、CISA KEV掲載や外部公開状況、機器の業務重要度を使った脆弱性管理の考え方が参考になります。

出典

• CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface – Palo Alto Networks（2026年10月14日）
• CISA Known Exploited Vulnerabilities Catalog – CISA公式データ（2026年10月14日版）