Palo Alto Networksは2026年10月14日付で、PAN-OS、Checkov by Prisma Cloud、GlobalProtect Appの脆弱性情報を公開しました。PAN-OSの管理インタフェースに関する脆弱性では、極めて限定的な悪用を確認しています。情シスは管理アクセスの制限を優先し、製品ごとに影響範囲と更新状況を確認する必要があります。
PAN-OSは管理画面の悪用と通信停止を分けて確認
CVE-2026-0322は、PAN-OSの管理インタフェースで遠隔コード実行が可能になる脆弱性です。管理インタフェースにネットワーク接続できる認証済みの攻撃者が、root権限という強い権限で任意のコードを実行できます。対象はPA-Series、VM-Seriesと、PanoramaのvirtualおよびM-SeriesのPAN-OSです。
同社は、管理アクセスを信頼できる内部IPアドレスに限定するとリスクを低減できるとしています。ただし、既知の回避策はありません。アクセス制限を、脆弱性そのものの解消と扱わないことが重要です。今回の資料には、対象となるPAN-OSの版がCPE形式で列挙されていますが、修正版番号は示されていません。
Threat Prevention契約者には限定的な防御も提供しています。利用にはThreat ID 510046と510047の有効化、Applications and Threats 9159-10287以降、SSL復号が必要です。契約の有無だけで防御済みとは判断できません。
別のCVE-2026-0321は、認証なしでPAN-OSをサービス不能状態にするDoSの脆弱性です。通信処理部分であるデータプレーンへの、またはそこを経由する細工した通信が攻撃条件になります。攻撃を繰り返すと、ファイアウォールがメンテナンスモードに入るとしています。Prisma Accessは、次回の定期メンテナンスで全顧客を更新する予定です。
CheckovとWindows版GlobalProtect Appにも更新推奨
CVE-2026-0312は、Checkov by Prisma Cloudで意図した範囲外のパスを扱えてしまうパストラバーサルの脆弱性です。認証不要のローカル利用者が、スキャン用ファイルシステムの任意の場所へ書き込めます。3.3.25未満が対象で、同社は3.3.25以降への更新を推奨しています。
修正版の導入までは、信頼できない内容をスキャンしないよう推奨しています。設定の自動読込を避け、信頼できる設定ファイルを明示的に指定することも推奨しています。Prisma Cloud内のCheckov連携は、新バージョン公開時に自動更新されます。
CVE-2026-0314はWindows版GlobalProtect Appの型混同の脆弱性です。低権限のローカル利用者がアプリをサービス不能にできます。同社は悪意ある悪用を把握していません。推奨更新先は、6.3系が6.3.3-h16(6.3.3-1199)以降、6.2系が6.2.8-h15(6.2.8-1084)以降、6.0系が6.0.15以降です。
日本での提供は発表には書かれていません。Prisma Accessの日本向けの個別更新日程も、今回の資料にはありません。
影響する会社・しない会社
- 影響する: PA-Series、VM-Series、PanoramaでPAN-OSを使う会社は、CVE-2026-0322の確認対象です。管理インタフェースへの到達可否と認証が攻撃条件になります。
- 影響する: Checkov by Prisma Cloudの3.3.25未満を使う会社と、Windows版GlobalProtect Appを使う会社は、それぞれ版と更新状況の確認が必要です。
- 影響する: Prisma Accessの利用企業は、CVE-2026-0321について次回の定期メンテナンスで更新される予定です。更新済みとは扱わず、予定を確認してください。
- 影響しない: Cloud NGFWはCVE-2026-0322とCVE-2026-0321の対象外です。Prisma AccessはCVE-2026-0322、PanoramaはCVE-2026-0321の対象外です。
- 影響しない: GlobalProtect AppのLinux、macOS、iOS、Android、Chrome OS版は、CVE-2026-0314の影響を受けません。ほかの脆弱性まで対象外になる意味ではありません。
情シスが今日やること
- 今日中にネットワーク管理担当または運用委託先へ、PA-Series、VM-Series、Panoramaの利用有無とPAN-OSの版の報告を依頼します。管理インタフェースへのアクセス許可元も確認し、信頼できる内部IPアドレスに限定されているかを点検してください。
- Threat Preventionを契約している場合は、担当者にThreat ID 510046・510047の有効化状況、Applications and Threatsの版、SSL復号の条件を確認してもらいます。限定的な防御であり、既知の回避策ではないことも共有します。
- Checkovの実行環境を開発担当に洗い出してもらい、3.3.25未満なら更新を手配します。更新完了までは、信頼できない内容のスキャンを止め、信頼できる設定ファイルを明示指定する運用を依頼します。
- 端末管理担当にWindows版GlobalProtect Appの版を集計してもらい、利用系列ごとの推奨更新先と照合します。更新対象と実施予定を整理し、対象端末の利用者へ案内してください。
- Prisma Accessの運用担当には、次回の定期メンテナンス予定と更新後の確認方法を問い合わせます。PAN-OSについても、今回の資料だけでは修正版番号を判断できないため、公式の個別情報で対象版と修正状況を確認してから更新計画を決めます。
