חולשה חדשה בממשק הניהול של PAN-OS כבר סומנה על ידי Palo Alto Networks ככזו שנצפתה בניצול מוגבל. CVE-2026-0322 קיבלה ציון חומרה 8.6 מתוך 10, והיצרן הגדיר את דחיפות הטיפול בה כגבוהה ביותר.
החולשה אינה מאפשרת לכל גולש אקראי להשתלט על חומת האש. לפי הודעת האבטחה, התוקף צריך חשבון מאומת עם הרשאות גבוהות וגישה רשתית לממשק הניהול. עם זאת, לאחר שהדרישות מתקיימות, הוא עלול להריץ קוד שרירותי בהרשאות root על ההתקן.
אילו מוצרים מושפעים?
Palo Alto Networks מציינת שהבעיה חלה על חומות אש מסדרות PA ו-VM ועל Panorama, הן בגרסה הווירטואלית והן בסדרת M. שירותי Cloud NGFW ו-Prisma Access אינם מושפעים מהחולשה.
הגרסאות המתוקנות תלויות בענף PAN-OS. בין היתר, היצרן מפנה ל-12.2.4 ומעלה, 12.1.10-h2, 11.2.16, 11.1.16-h3 ו-10.2.18-h12. קיימות גם גרסאות Hotfix מתוקנות בענפים קודמים, ולכן אין להסתמך על הרשימה המקוצרת בלבד: צריך להשוות את הגרסה המותקנת לטבלת המוצרים המלאה בהודעה הרשמית.
למה ממשק הניהול הוא נקודת הסיכון?
ממשק ניהול של Firewall מרכז גישה למדיניות, לתצורה ולעיתים גם לסודות תפעוליים. חשיפה שלו לאינטרנט או לטווח כתובות רחב מגדילה את הסיכון, גם כאשר נדרש חשבון מנהל. היצרן ממליץ להגביל גישה לכתובות פנימיות מהימנות או ל-Jump Box ייעודי.
זו גם דוגמה טובה לכך שמימוש Zero Trust אינו מסתכם ברכישת מוצר: יש להקטין את משטח הניהול, להגביל הרשאות ולוודא שכל פעולת מנהל נרשמת וניתנת לבדיקה.
מה מנהלי IT צריכים לעשות עכשיו?
- לזהות את כל התקני PA-Series, VM-Series ו-Panorama ואת גרסת PAN-OS המדויקת.
- להשוות כל התקן לטבלת הגרסאות המתוקנות של Palo Alto Networks.
- לתכנן עדכון לגרסה מתוקנת בהתאם לענף שבו הארגון נמצא ולמדיניות התמיכה שלו.
- להגביל את ממשק הניהול לכתובות פנימיות מהימנות או לשרת קפיצה מאובטח.
- לבדוק יומני התחברות ופעולות מנהל, במיוחד חשבונות לא מוכרים, כניסות חריגות ושינויי תצורה.
- אם קיים חשד לשימוש לרעה, לפעול לפי נוהל תגובה לאירוע ולא להסתפק בעדכון בלבד.
Palo Alto Networks מציינת שאין מעקף מלא לחולשה. חתימות Threat Prevention מסוימות מספקות כיסוי מוגבל בלבד ובתנאים מוגדרים, לרבות ניתוב מתאים ופענוח SSL. הן אינן תחליף לשדרוג.
השורה התחתונה
CVE-2026-0322 דורשת אימות והרשאות גבוהות, אך גם מעניקה לתוקף פוטנציאלי גישה ברמת root להתקן אבטחה מרכזי. ארגון שמפעיל PAN-OS צריך לאמת גרסה, לצמצם גישה לממשק הניהול ולעדכן לפי הנחיית היצרן בהקדם האפשרי, תוך חלון שינוי מסודר ובדיקת תקינות לאחר העדכון.
מקור: Palo Alto Networks Security Advisory – CVE-2026-0322.
צילום: Dan Nelson / Pexels. שימוש לפי רישיון Pexels.
