防火墙管理口被在野利用：Palo Alto PAN-OS root RCE当日入KEV（CVE-2026-0322）

原创

赤霄攻防实验室
赤霄攻防实验室

赤霄攻防实验室

2026年10月16日 09:25
河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

▲ 封面｜漏洞情报（制图：赤霄攻防实验室）

TL;DR

是什么：Palo Alto PAN-OS 管理接口 RCE（CVE-2026-0322）——认证攻击者可在防火墙上以 root 执行任意代码

有多糟：10.2 ~ 12.2 全现代版本线受影响；公告发布当日即被 CISA 列入 KEV（在野利用）；无已知 workaround

怎么修：多分支热修已发布（12.1/11.1/11.2/10.2 等），管理口必须收敛到可信网段

看点：官方标注「内部发现」，却同日进入在野利用目录——管理口暴露是防火墙最古老的死穴

▲ 版本修复矩阵（制图：赤霄攻防实验室，据官方公告整理）

PAN-OS：企业边界最贵的那道门

Palo Alto 是企业防火墙市场公认的头部厂商，PAN-OS 驱动的下一代防火墙守着无数企业的南北向边界。而这次出问题的是它的管理接口——不是数据面转发，不是 VPN 网关，而是管理员每天登录配置策略的那张「驾驶舱」界面。管理接口一旦沦陷，攻击者拿到的不是流量旁路，而是防火墙本身：策略随意改、隧道随意建、全网的信任边界变成攻击者的操作台。

根据 Palo Alto 10 月 14 日发布的 CSAF 安全公告，具备管理访问权限的认证攻击者可以通过网络在防火墙上以 root 权限执行任意代码。公告同时确认：发现于内部（Discovered internally）。但同日，CISA 将该编号列入已知在野利用目录（KEV）——「内部发现」与「在野利用」出现在同一个时间窗口，说明攻击活动早已先于公告存在。

值得拆解的是攻击前置条件：漏洞的触发需要管理接口的有效认证，这看似门槛，但现实中的组合拳从不缺钥匙——暴露在公网的管理口叠加弱口令爆破、凭据复用、供应链凭据泄露，任何一条都能凑齐认证前置条件。防火墙管理口之所以被反复强调「绝不出公网」，正是因为它一旦暴露，认证这一层往往比想象中脆弱。

▲ Palo Alto 官方 CSAF 安全公告（来源：security.paloaltonetworks.com）

影响面：10.2 到 12.2，全现代版本线

受影响范围覆盖了 PAN-OS 所有的现代版本线：12.2（< 12.2.4）、12.1（多个热修分支）、11.2（五个热修分支）、11.1（六个热修分支）、10.2（五个热修分支）——官方为每条分支提供了对应热修。两条产品线明确豁免：Prisma Access 与 Cloud NGFW 完全不受影响。换句话说，凡是自建物理或虚拟防火墙跑 PAN-OS 的，都需要核对版本号。

缓解现状也不乐观：官方明确「无已知 workaround」，现有缓解仅有 Threat Prevention 订阅的 510046/510047 两条特征——且需要把管理口流量路由到专用防护防火墙才能生效，属于有限缓解。真正的修复只有升级热修版本一条路。

▲ 管理口自查三问（制图：赤霄攻防实验室）

防御视角：管理口的三条铁律

1. 管理口不是业务口

防火墙管理接口只应从管理网段（专用带外网络或跳板机）可达。公网扫描器每天都在指纹识别各类防火墙管理界面——你的管理口暴露一天，就等于在攻击者的资产清单上挂了一天。

自查方法很朴素：从公网侧对自己的管理地址发起一次访问测试，能打开登录页就已经是失分项。更彻底的做法是把它交给外部攻击面管理平台持续盯守——这类「管理面暴露」问题在历史事件里反复出现，值得纳入常态化监控而不是一次性整改。

2. 升级之前先降暴露面

热修虽已发布，全网友更替需要窗口期。窗口期内的临时方案：管理接口来源限制到运维网段、关闭不必要的登录方式、对认证失败频率加告警——把「认证后 RCE」的前置条件掐断。

3. 观察厂商节奏本身

这条情报链值得注意的细节是节奏：内部发现、公告发布、KEV 收录发生在同一个工作日内——这通常意味着 CISA 已经掌握了与厂商沟通之外的在野证据。今后几天内，围绕该漏洞的武器化尝试大概率继续增加， 自建运维团队应保持对后续公告与威胁情报的持续关注。

参考来源

1. Palo Alto 官方 CSAF 公告：security.paloaltonetworks.com/CVE-2026-0322
2. NVD：CVE-2026-0322
3. CISA KEV 目录（2026-10-14 收录）
4. 本号指纹与暴露面检测脚本（指纹判定，非完整验证）：https://github.com/Rubby2001/CVE-POCS/tree/main/CVE-2026-0322

免责声明：本文仅用于安全研究与防御交流；PoC 为指纹判定性质，仅限授权测试使用。