Palo Alto Networks ha corretto la CVE-2026-0322, una vulnerabilità di esecuzione di codice remoto nell'interfaccia di gestione di PAN-OS, e ha dichiarato che è già stata sfruttata in attacchi, seppure in misura "molto limitata". CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate (KEV) il 14 ottobre con scadenza di rimedio al 17 ottobre per le agenzie federali statunitensi. Il punteggio è CVSS 4.0 pari a 8.6: alto, non critico. Il motivo per cui conviene trattarla con priorità sta nei dettagli.

Cosa è successo

Secondo l'advisory del produttore, un attaccante autenticato con accesso di rete all'interfaccia di gestione può eseguire codice arbitrario con privilegi root sul firewall (CWE-94, iniezione di codice). Il vettore indica privilegi richiesti "alti", nessuna interazione dell'utente e nessuna configurazione particolare necessaria per essere esposti. Sono interessati i firewall della serie PA, le VM-Series e Panorama (virtuale e M-Series); Cloud NGFW e Prisma Access non sono coinvolti.

Palo Alto riferisce di tre indirizzi IP associati ad attività sospette contro l'interfaccia di gestione e classifica la sua urgenza come massima. Non esistono workaround. Il database The Hacker Wire segnala inoltre un proof-of-concept pubblico, un elemento da trattare con cautela finché non è confermato dall'advisory, ma che sposta il calcolo del rischio: quando l'exploit circola, gli attacchi opportunistici seguono in fretta.

Le versioni corrette, per ramo, sono:

  • 12.2: 12.2.4 o successive (vulnerabili 12.2.0-12.2.3);
  • 12.1: 12.1.4-h12, 12.1.7-h8 o 12.1.10-h2;
  • 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 oppure la 11.2.16, attesa il 15 ottobre;
  • 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 o 11.1.16-h3;
  • 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 o 10.2.18-h12.

Le release non più supportate vanno aggiornate a un ramo supportato. La copertura tramite Threat Prevention (Threat ID 510046 e 510047) è parziale e richiede SSL Decryption e interventi di hardening: non è un sostituto della patch.

Perché "autenticato" non è un'attenuante sufficiente

Leggendo "richiede autenticazione" si è tentati di declassare la falla. Il ragionamento è fragile per tre motivi.

Il primo: le credenziali di un firewall si rubano. Phishing mirato agli amministratori di rete, password riutilizzate, infostealer sui PC dei fornitori che gestiscono gli apparati e accessi VPN già compromessi sono scenari ricorrenti. Chi ha un account anche con privilegi limitati sul firewall può, in alcune configurazioni, arrivare a un punto di appoggio da cui sfruttare questa falla.

Il secondo: la gravità reale di un firewall compromesso è molto superiore a un server qualunque. Con root sul firewall l'attaccante può leggere le regole, intercettare o reindirizzare il traffico, estrarre chiavi VPN e certificati, e modificare le policy per aprirsi la strada nella rete. Il punteggio CVSS misura la falla, non quanto vale ciò che si trova dietro.

Il terzo: l'interfaccia di gestione è troppo spesso raggiungibile da dove non dovrebbe. Le scansioni pubbliche mostrano da anni migliaia di pannelli di gestione PAN-OS esposti su Internet o raggiungibili da reti ampie. Una falla sull'interfaccia di gestione è pericolosa nella misura in cui quell'interfaccia è accessibile.

Cosa significa per le aziende italiane

Palo Alto è tra i firewall più diffusi nelle medie e grandi aziende italiane, nella PA centrale e locale, nelle banche e nelle utility, e ritorna spesso nei progetti di adeguamento a NIS2 come presidio di perimetro. In molte realtà la gestione è affidata a un fornitore esterno che accede da remoto: ciò significa che la sicurezza dell'interfaccia di gestione dipende anche dalle credenziali e dai dispositivi di terzi.

La priorità pratica non è solo "aggiornare", ma capire da dove si può raggiungere l'interfaccia di gestione. Se la risposta contiene "da Internet", "da tutta la rete interna" o "da qualunque IP del fornitore", l'organizzazione è in una posizione più debole di quanto il CVSS suggerisca. Anche dopo la patch resta un problema di architettura che questa vicenda rende evidente.

Sul piano normativo, per i soggetti NIS2 la gestione delle vulnerabilità e la sicurezza degli accessi privilegiati sono misure di gestione del rischio che un'autorità o un auditor chiederà di dimostrare, con evidenze: inventario degli apparati, tempi di applicazione delle patch critiche, segregazione dell'accesso amministrativo. Se un firewall risultasse compromesso con possibile accesso a dati personali, si apre inoltre la valutazione di notifica al Garante entro 72 ore (art. 33 GDPR). Per le entità NIS2 si aggiungono i termini di notifica verso il CSIRT Italia: preallarme entro 24 ore da un incidente significativo.

Cosa fare subito

  • Inventariare tutti i firewall PA-Series, VM-Series e le istanze Panorama, comprese quelle di laboratorio o dismesse "in attesa".
  • Verificare la versione con show system info e confrontarla con la tabella dei fix per il proprio ramo; pianificare l'aggiornamento entro giorni, non settimane.
  • Limitare l'accesso all'interfaccia di gestione a indirizzi interni fidati o a un jump box dedicato, e verificare che non sia raggiungibile da Internet.
  • Controllare i log di accesso e di configurazione degli ultimi 30 giorni per login anomali, nuovi amministratori o modifiche inattese, e cercare le connessioni dagli IP indicati nell'advisory.
  • Ruotare le credenziali degli amministratori e imporre l'autenticazione a più fattori sugli accessi di gestione.
  • Se i firewall sono gestiti da un fornitore, chiedere conferma scritta della versione installata e della data di applicazione della patch.
  • Documentare le verifiche: serviranno come evidenza per NIS2 e GDPR.

Valutazione

Non è la falla più grave dell'anno, e il produttore parla di sfruttamento molto limitato. Ma unisce tre ingredienti che nel perimetro di rete fanno la differenza: root su un apparato di sicurezza, nessun workaround, exploit probabilmente in circolazione. Chi ha l'interfaccia di gestione già ben isolata ha tempo per pianificare l'aggiornamento; chi non lo ha deve cominciare da lì.