JVN iPediaは2026年10月16日、Palo Alto NetworksのPAN-OS管理インターフェースに関する脆弱性情報を掲載しました。認証済みの攻撃者が、システムの強い権限であるroot権限で任意のコードを実行する恐れがあります。情シスは、対象製品・バージョンの利用状況と、管理インターフェースへ接続できる範囲の確認が必要です。
管理画面への接続と高い権限が攻撃条件
脆弱性の識別子は「CVE-2026-0322」です。意図しないコードを実行させるコードインジェクションに分類され、分類番号はCWE-94です。
攻撃には、管理インターフェースへのネットワークアクセスが必要です。また、深刻度を評価するCVSSでは、攻撃に必要な特権レベルは「高」とされています。誰でも認証なしで攻撃できる、という内容ではありません。
一方、攻撃条件の複雑さは「低」で、利用者の関与は不要と評価されています。認証が必要だからといって、管理接続の制限を確認しなくてよいわけではありません。
NVD評価によるCVSS v3基本値は7.2で、深刻度は「重要」です。JVNは、ソフトウェアが扱う全情報の外部への漏えい、全情報の書き換え、ソフトウェアの完全な停止が起きる可能性を挙げています。これらは想定される影響であり、実際の被害件数を示したものではありません。
接続元の制限と対象バージョンの確認を
JVNによると、管理アクセスを信頼する内部IPアドレスに限定すると、リスクを抑えられます。製品名だけで判断せず、利用中のバージョンと、管理インターフェースへ接続できる範囲を併せて確認してください。
接続元の制限はリスクを抑える措置です。それだけで対応を完了とせず、JVNの案内どおり、ベンダ情報を確認して適切な対策を実施する必要があります。
影響を受けるバージョンは、資料の「影響を受けるシステム」に列挙されています。利用中の版をこの一覧と照合してください。修正版の番号や更新期限は記載されていないため、ベンダ情報で確認する必要があります。日本での修正版の提供状況についても、今回の情報には記載されていません。
影響する会社・しない会社
- 影響する: PAシリーズ、VMシリーズのファイアウォールで、対象バージョンのPAN-OSを使う会社です。資料の対象バージョン一覧と利用中の版を照合し、詳細はベンダ情報で確認してください。
- 影響する: Panoramaの仮想版、またはMシリーズ上で、対象バージョンのPAN-OSを使う会社です。これらも利用中の版と管理インターフェースの接続元を確認する対象になります。
- 影響しない: 今回の脆弱性について、Cloud NGFWとPrisma Accessは対象外です。ただし、それらだけを使っているのか、対象製品も併用しているのかは分けて確認してください。
情シスが今日やること
以下は、社内で確認を進めるための手順です。ベンダが指定した期限ではありません。
- 今日中に利用製品と版を洗い出す。 IT資産台帳とネットワーク機器の管理資料で、PAシリーズ、VMシリーズ、Panoramaの有無を確認します。利用中の版と管理担当者を一覧にし、JVNの対象バージョン一覧と照合してください。委託管理なら委託先に確認を依頼します。
- 管理インターフェースの接続元を確認する。 対象機器の管理アクセス設定と、経路上のアクセス制御設定を担当者と確認します。具体的な画面名や設定経路は今回の情報にないため、製品の手順に従ってください。信頼する内部IPアドレスだけに限定できているかを記録します。
- 今日中にベンダ情報との照合を依頼する。 製品・版の一覧とCVE-2026-0322を、保守担当者または委託先へ渡します。修正方法や適用条件を確認し、更新が必要なら実施日と担当者を決めてください。
- 確認結果と未対応事項を共有する。 情シス責任者とネットワーク運用担当者へ、対象機器、管理接続元、対策予定を報告します。接続元を変更する場合は、実施前に運用担当者と必要な管理経路を確認し、作業後に設定と接続を再確認してください。
