PAN-OS : l'interface de gestion, encore elle

Le 14 octobre 2026, Palo Alto Networks a publié un bulletin sur CVE-2026-0322, une faille de l'interface de gestion de PAN-OS déjà exploitée, et la CISA l'a ajoutée le même jour à son catalogue KEV. Le même lot KEV contenait une faille de la passerelle de courriel de Cisco. Deux équipements de bordure de plus, et la même leçon : l'interface d'administration ne doit pas être joignable par n'importe qui.

Ce que disent les bulletins

Palo Alto Networks (14 octobre). Le bulletin, intitulé « Authenticated Remote Code Execution (RCE) in the Management Interface », décrit une faille qui « enables an authenticated attacker with network access to execute arbitrary code with root privileges on the firewall ». Sur l'exploitation : « Very limited exploitation has been observed targeting the Palo Alto Networks management interface. » La sévérité est « HIGH », l'urgence suggérée « HIGHEST ».

Les branches touchées vont de PAN-OS 10.2 à 12.2, avec une version corrigée par branche ; Cloud NGFW et Prisma Access ne sont pas touchés. Le bulletin indique qu'il n'existe « no known workarounds ». Les abonnés à Threat Prevention ont une couverture limitée avec les signatures 510046 et 510047, à condition d'avoir le déchiffrement SSL.

La CISA (14 octobre). L'agence a inscrit au catalogue KEV CVE-2026-0322 (« Palo Alto Networks PAN-OS Code Injection Vulnerability ») et CVE-2026-76519 (« Cisco Secure Email Gateway Relative Path Traversal Vulnerability »), avec deux failles d'Ahsay AhsayCBS. L'échéance fixée aux agences fédérales américaines est le 17 octobre. L'alerte rappelle que BOD 26-04 vise en priorité les failles qui touchent des actifs exposés et « grant total control of the asset post-exploitation ».

Pourquoi ça compte

En deux semaines, la même famille d'actifs revient : NetScaler, FortiMail, Ivanti, maintenant un pare-feu PAN-OS et une passerelle de courriel Cisco. Ce sont les équipements qui font la frontière du réseau, et ceux dont l'interface d'administration est le plus souvent laissée accessible par commodité.

Une faille qui demande d'être authentifié rassure à tort. Le 6 octobre, le FBI et le Secret Service décrivaient une campagne entière, FortiBleed, bâtie sur des identifiants d'administration de pare-feu volés et cassés en masse. Un attaquant qui a déjà un mot de passe valide n'a besoin que d'une interface joignable.

L'absence de contournement compte aussi. Palo Alto n'en connaît aucun, et la couverture par signatures qu'il propose suppose le déchiffrement SSL, que beaucoup de déploiements n'appliquent pas au trafic de gestion. Tant que la version corrigée n'est pas installée, la seule vraie protection est que l'interface ne soit pas joignable.

Ce que nous en pensons chez Sentrix

1. Restreindre l'interface de gestion d'abord. Adresses internes de confiance seulement, jamais Internet. C'est la mesure qui protège aussi contre la prochaine faille.
2. Corriger ensuite, version par version. Relevez la version exacte de chaque pare-feu et comparez-la au tableau du bulletin ; certaines versions corrigées de la branche 11.2 arrivaient plus tard que les autres.
3. Vérifier la passerelle de courriel Cisco si vous en avez une : la faille CVE-2026-76519 est aussi au catalogue KEV depuis le 14 octobre, avec la même échéance.
4. Revoir les comptes d'administration des pare-feu, comme pour FortiBleed : un compte inconnu est un incident.
5. Tenir l'inventaire de la bordure et de l'exposition de chaque interface de gestion. C'est ce que le module CTEM d'exposition continue tient à jour, et notre service de sécurité réseau applique.

Pour un MSP ou un MSSP, la question n'est pas « sommes-nous touchés ? » mais « chez quels clients l'interface de gestion est-elle joignable ? ». Une vue de tous les clients, avec la version et l'exposition de chaque interface, répond en minutes.

La prochaine étape

Aujourd'hui, testez depuis l'extérieur de votre réseau si l'interface de gestion de chacun de vos pare-feu répond. Toute réponse est à corriger avant le correctif lui-même. Si vous voulez faire ce test avec nous, contactez-nous.