PAN-OS CVE-2026-0322: no hi ha un pedaç, n'hi ha vint

El 14 d'octubre Palo Alto Networks va publicar l'avís de la CVE-2026-0322: injecció de codi a la interfície de gestió de PAN-OS que permet executar codi com a root. Aquell mateix dia va entrar al catàleg de vulnerabilitats explotades de CISA amb data límit per a les agències federals el 17 d'octubre, i amb una casella que no surt a les notícies: "forensicTriage": "Yes". El termini no és només pedaçar; l'acció exigida inclou els requisits de triatge forense de la directiva BOD 26-04.

Fins aquí, un dimecres normal al sector. El que canvia la feina real comença quan obres l'avís a buscar el pedaç, perquè no n'hi ha cap de sol. Hi ha vint versions corregides, repartides en cinc branques vives de PAN-OS. Sis només a la branca 11.1. I la que et serveix a tu depèn d'un número que probablement va triar una altra persona fa anys.

El recompte

Vint. I el repartiment no és capritxós: cada branca manté diversos trens de manteniment en paral·lel, i el fabricant corregeix al tren on ets, no pujant-te al següent. Una branca jove com la 12.2 té un tren i per això té una sola versió corregida. Una branca veterana i molt desplegada com la 11.1 té sis trens vius, i per això té sis pedaços diferents per exactament la mateixa fallada.

La conseqüència pràctica és poc èpica: abans de pedaçar toca llegir l'inventari versió a versió, inclosa la capsa que ningú no compta. Fa onze dies explicàvem una cosa semblant a vuit productes i dinou versions en un sol avís, però allà el recompte venia de vuit productes diferents. Aquí ve d'un de sol, amb cinc branques i diversos trens corrent dins de cadascuna, que és un problema d'una altra naturalesa: no te'l resol saber quins productes tens, només saber en quin tren és cadascun.

Què diu l'avís, i què no

La CVE-2026-0322 està classificada com a injecció de codi (CWE-94) i puntua 8,6 en CVSS 4.0. Aquest 8,6 és el resultat de dues forces oposades dins del mateix vector: PR:H —privilegis alts requerits— el baixa, i E:A —explotació ja observada— el puja. A la pràctica, l'atacant necessita una credencial vàlida amb privilegis i accés de xarxa a la interfície de gestió. Amb les dues coses, executa codi com a root a l'aparell.

Afecta PA-Series, VM-Series i Panorama (virtual i M-Series). No afecta Cloud NGFW ni Prisma Access, en cap versió. Sobre explotació, l'avís és escarit i per això creïble: «Very limited exploitation has been observed targeting the Palo Alto Networks management interface». No diu campanya massiva. Diu que ja ha passat.

«Requereix autenticació» no és el consol que sembla

Quan un avís demana credencials, el reflex del comitè és relaxar-se. Nosaltres fem l'exercici contrari: comptar quants comptes amb privilegis existeixen avui al pla de gestió d'un tallafoc mitjà. Hi ha el de l'administrador. El de l'integrador que el va muntar. El del proveïdor de manteniment anterior, que ningú no va revocar perquè el dia de la migració hi havia coses més urgents. La clau d'API de l'eina de monitoratge. I algun de servei sense amo clar, creat per a una integració que ja no existeix.

Aquesta llista és la que converteix un PR:H en un problema. I la via per la qual aquelles credencials canvien de mans poques vegades és tècnica: sol ser una trucada al servei de suport, un assumpte que ja vam tractar a qui verifica, a l'altra banda del telèfon, que ets tu. Revisar qui pot entrar avui a la interfície de gestió costa una tarda i no requereix finestra de canvis.

Panorama és la peça que més fa mal

A la llista d'afectats, Panorama va al final i hauria d'anar primer. Un tallafoc compromès és un tallafoc compromès; el gestor des del qual s'empenyen les polítiques a tot el parc és una altra cosa. Qui mana allà no necessita atacar les capses una a una: només li cal canviar el que les capses aplicaran al següent commit.

I convé recordar una cosa que ja vam escriure quan li va tocar a un altre fabricant: pedaçar atura l'entrada, no desfà la visita. Si el pla de gestió va estar exposat i hi va haver accés, el que l'atacant es va endur —regles, objectes, adreçament, el mapa sencer de la teva xarxa— continua sent seu després del pedaç. Ho expliquem sencer a pedaçar tanca la porta, però no esborra el que l'atacant ja es va endur.

L'avís diu que no hi ha solució temporal

Convé citar-ho tal qual, perquè es llegeix poc: «No known workarounds exist for this issue». El que l'avís sí que ofereix és cobertura parcial per inspecció: activar els identificadors d'amenaça 510046 i 510047.

Aquesta cobertura parcial té lletra petita, i convé llegir-la abans d'apuntar-la com a feta: exigeix quatre coses prèvies —enrutar el trànsit de gestió per un port del pla de dades, substituir el certificat de la interfície de gestió, desxifrar el trànsit de gestió entrant i activar la inspecció d'amenaces—, i tot i així el mateix avís adverteix que la cobertura és limitada.

Muntar això un divendres a la tarda és un projecte amb risc propi, no cap apedaçament. El que queda és a la mateixa pàgina i és el de sempre: «The risk is highest when you allow access to the management interface from external IP addresses on the internet». Restringir la gestió a un conjunt d'adreces internes de confiança o a un únic equip de salt baixa el risc sense tocar ni una regla de trànsit, i a més continua valent per a la següent CVE de la interfície de gestió, que arribarà.

El que faríem aquesta setmana

1. Llistar versions, no fabricants. Cada PA-Series, cada VM-Series i cada Panorama, amb la versió exacta. L'inventari que serveix aquí té una columna de versió, no una de marca.
2. Buscar el teu tren a l'avís i copiar el número d'allà. De la taula de dalt te'n pots fiar avui; de l'avís, sempre. Si la teva branca ja no té suport, el salt no és un pedaç: és una actualització planificada.
3. Comprovar l'exposició abans que la versió. Si la interfície de gestió contesta des d'internet, això s'arregla avui i no espera la finestra de canvis.
4. Revisar els comptes amb privilegis del pla de gestió i treure els que sobren: ex-proveïdors, integracions mortes, claus d'API sense amo.
5. Mirar enrere als registres. Això no és idea nostra: l'entrada del KEV marca "forensicTriage": "Yes" i l'acció exigida remet als requisits de triatge forense de CISA. L'avís publica tres adreces associades a l'activitat observada: 66.42.72.14, 208.83.239.114 i 149.248.47.234. Buscar-les als accessos a gestió costa poc; trobar-les canvia el pla sencer.

Quan això no és una urgència

Si la teva interfície de gestió només contesta des d'una xarxa d'administració separada, els comptes amb privilegis caben en una mà i els revises, aquest pedaç entra a la teva finestra normal de canvis. La pressa de tres dies és la de CISA amb les seves agències, i a sobre el tercer dia cau en dissabte, un vici del calendari sobre el qual ja vam escriure a tres dies per pedaçar i el tercer cau en dissabte. Dir el contrari vendria millor i seria fals: un reinici mal triat d'un tallafoc perimetral es cobra minuts de caiguda segurs, i el que l'avís descriu avui és explotació molt limitada.

El que fem nosaltres, i el que no afirmem

No som resellers de cap plataforma de seguretat, i això no és una recomanació de canviar de fabricant: una CVE a la interfície de gestió no és un argument contra un producte, és un recordatori d'on viu el risc. Operem xarxa pròpia i dissenyem, desplegem i mantenim infraestructura, amb NetBox com a font de veritat de l'inventari: és allà on viu la columna de versió que avui decideix quant triga això. La part de ciberseguretat que de debò mou l'agulla gairebé mai no és el pedaç del dia; és que aquesta llista existeixi, estigui al dia i algú tingui l'obligació de mirar-la quan surt un avís. Tampoc no afirmem quants aparells hi ha exposats a Espanya, perquè no ho hem mesurat.

Fonts (consultades el 16-10-2026): la descripció de la vulnerabilitat, la classificació CWE-94, la puntuació 8,6 en CVSS 4.0 amb PR:H, la llista de productes afectats (PA-Series, VM-Series i Panorama virtual i M-Series) i no afectats (Cloud NGFW i Prisma Access), les vint versions corregides de les cinc branques, el «Upgrade to a supported fixed version» de les branques sense suport, la frase «Very limited exploitation has been observed targeting the Palo Alto Networks management interface», les tres adreces IP associades, els identificadors d'amenaça 510046 i 510047 amb els seus quatre requisits i la seva cobertura limitada, i la frase «The risk is highest when you allow access to the management interface from external IP addresses on the internet», surten de l'avís oficial de Palo Alto Networks per a la CVE-2026-0322. La data de publicació (14 d'octubre de 2026), la inclusió al catàleg de vulnerabilitats explotades de CISA i el termini del 17 d'octubre per a les agències federals, de Help Net Security (15-10-2026). Nostre, i ho acotem: el recompte de vint i la seva lectura com a nombre de trens de manteniment vius, l'ordre de prioritat que posa Panorama primer, la llista de comptes amb privilegis, la comparació entre la mitigació per inspecció i la llista d'adreces, els cinc passos i el «quan no és una urgència».