資料ダウンロード お問い合わせ
脆弱性レーダー（for IT）
ファイアウォール・UTMPAN-OS認証後のコード実行深刻度 高悪用確認

PAN-OSの脆弱性CVE-2026-0322｜悪用確認、管理画面の対象と修正版・侵害の確認

公開 2026-11-05公表 2026-10-15資料確認 2026-11-05ファイアウォール・UTMの脆弱性 4件のまとめ

ファイアウォール・UTM　/　公表 2026-10-15

認証済み攻撃者がroot権限でコードを実行

KEV米CISAが悪用を確認
01　使われている所PA-Series・VM-Seriesファイアウォール、Panoramaの仮想版・M-Series

対象：PAN-OS（PA-Series・VM-Series・Panorama）（CVE-2026-0322）

02　対象と修正版管理インターフェースへ到達できる修正前のPAN-OS。特別な設定は不要

修正版　12.2.4、12.1.10-h2、11.2.16、11.1.16-h3、10.2.18-h12以降。系列内の別hotfixもあり

03　次にやること自社で確かめる順番

1　管理画面の到達範囲と現在の版を確認し、該当する修正版へ更新

出典　Palo Alto Networks：CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface（2026-10-15公表（日本時間。CVE記録のdatePublicは2026-10-14T16:00:00Z）、2026-11-05確認）

要点を、上司や保守の会社へのメール・チャットに貼れる文章でコピーします

PAN-OSの脆弱性CVE-2026-0322は、管理インターフェースにネットワークで到達できる認証済み攻撃者に、root権限でのコード実行を許す問題で、提供元がごく限定的な悪用を観測しています。修正前のPA-Series・VM-Series・Panoramaが対象で、12.2系は12.2.4以降、11.2系は11.2.16以降など、現在の版に合う修正版へ上げることと、管理画面を外部へ公開していないかの確認が必要です。[1]

この記事の要点
  • 攻撃には認証と管理インターフェースへの到達が必要です。認証不要の問題ではなく、特別な機能設定は不要です。[1]
  • 提供元のCVSS 4.0評価は8.6（高）。管理画面へ接続できる端末を踏み台用の専用端末1台に制限した場合も8.5（高）としています。[1]
  • CVEのCISA追記には、2026年10月14日のKEV追加が記録されています。提供元も別に、管理インターフェースを狙う限定的な悪用を明記しています。[1][2]
  • Threat Preventionの検知は条件付きかつ限定的です。既知の攻撃パターンを検知しても、修正版への更新の代わりにはなりません。[1]

01PAN-OSの脆弱性で起きること

CVE-2026-0322では、認証済みの攻撃者が管理インターフェースを通じてroot権限で任意のコードを実行できます。弱点はCWE-94（コード生成の制御不備）です。PAN-OSへのネットワーク到達と高い権限を前提とするCVSS 4.0の評価は8.6（高）で、利用者の操作は不要とされています。[1][2]

02対象になるPAN-OSの製品と構成

対象はPAN-OSを動かすPA-Series・VM-Seriesファイアウォールと、Panoramaの仮想版・M-Seriesです。提供元は、影響を受けるために特別な設定は不要としています。Cloud NGFWとPrisma Accessは対象外です。[1]

修正の有無は系列番号だけでなく、末尾の-hを含む版で確かめます。告知のSolution表は12.1.2から始まる一方、CVE記録のaffectedは12.1.0を開始値にしています。12.1.0・12.1.1は告知の表に行が無く、この違いだけで対象外とは判断できません。[1][2]

03PAN-OSの悪用確認とKEVの記録

Palo Alto Networksは、管理インターフェースを狙った「ごく限定的な悪用」を観測しています。攻撃件数や被害組織の範囲は、読めた告知には記載されていません。[1]

CVE Programの記録にあるCISA ADP追記は、2026年10月14日にKEVへ追加したと記しています。これはCVE記録内のCISA追記を根拠とする日付です。[2]

04PAN-OSの管理画面が外から見えているか

提供元は、インターネット上の外部IPアドレスから管理インターフェースへアクセスできる場合にリスクが最も高いとしています。管理画面に到達できる機器と経路を一覧にし、インターネット側からの管理アクセスを許可していないか確かめます。[1]

接続元を専用の踏み台端末だけに絞る方法は、提供元が示すリスク低減策です。ただし、その構成でもCVSS 4.0は8.5（高）であり、更新不要とはしていません。[1]

05PAN-OSが攻撃を受けていないかの確認

提供元は、この脆弱性に対する脅威活動と限定的な悪用試行に関連するIPアドレスとして、66[.]42[.]72[.]14、208[.]83[.]239[.]114、149[.]248[.]47[.]234を公開しています。[1]

既存の接続記録をこの3アドレスと照合します。ただし、告知は悪用の「試行」との関連を示しており、通信記録への出現だけで侵害成功を確定することはできません。記録が無いことも、侵害されていない証明にはなりません。[1]

侵害の確認チェックリスト

チェックはこのブラウザにだけ残ります。保守の会社への依頼や作業の記録にも使えます。

緊急の場合AI攻撃リスク即点検サービス公開情報と、契約後すぐに用意できるアクセスの記録から先に調べ、被害や狙われやすい構成がないかを早く確かめます。
無料で相談するサービスの詳細を見る

06PAN-OSの対象バージョンと修正版

系列ごとの主な修正版は12.2.4、12.1.10-h2、11.2.16、11.1.16-h3、10.2.18-h12です。提供元は、古い保守枝を継続する場合のhotfixも示しています。例えば12.1.4には12.1.4-h12、11.2.10には11.2.10-h15があるため、系列全体を1つの版番号だけで判定しません。[1]

現在の版（告知の表記）提供元が示す更新先
12.2.0〜12.2.312.2.4以降
12.1.8〜12.1.10-h*12.1.10-h2以降
12.1.5〜12.1.7-h*12.1.7-h8、または12.1.10-h2以降
12.1.2〜12.1.4-h*12.1.4-h12、または12.1.10-h2以降
11.2.14〜11.2.1511.2.16以降
11.2.11〜11.2.13-h*11.2.13-h3、または11.2.16以降
11.2.8〜11.2.10-h*11.2.10-h15、または11.2.16以降
11.2.5〜11.2.7-h*11.2.7-h21、または11.2.16以降
11.2.0〜11.2.4-h*11.2.4-h22、または11.2.16以降
11.1.14〜11.1.16-h*11.1.16-h3以降
11.1.11〜11.1.13-h*11.1.13-h15、または11.1.16-h3以降
11.1.8〜11.1.10-h*11.1.10-h35、または11.1.16-h3以降
11.1.7〜11.1.7-h*11.1.7-h11、または11.1.16-h3以降
11.1.5〜11.1.6-h*11.1.6-h39、または11.1.16-h3以降
11.1.0〜11.1.4-h*11.1.4-h37、または11.1.16-h3以降
10.2.17〜10.2.18-h*10.2.18-h12以降
10.2.14〜10.2.16-h*10.2.16-h11、または10.2.18-h12以降
10.2.11〜10.2.13-h*10.2.13-h26、または10.2.18-h12以降
10.2.8〜10.2.10-h*10.2.10-h41、または10.2.18-h12以降
10.2.0〜10.2.7-h*10.2.7-h38、または10.2.18-h12以降
それ以前のサポート対象外のPAN-OSサポート中の修正版

表は告知のSolution欄の更新先です。-h*は同欄の表記を引き継いでいます。すでに当該hotfix以上へ更新済みの場合は、告知のProduct Status欄のUnaffectedと合わせて確認します。[1]

07PAN-OSをすぐ上げられないとき

提供元は既知の回避策は無いとし、Threat Prevention契約がある場合の限定的な検知策を示しています。Applications and Threatsの9159-10287以降に含まれるThreat ID 510046・510047を有効にする方法です。[1]

この検知には、管理用MGTポートへの通信をデータ処理用DPポートへ通すこと、管理通信の証明書を置き換えること、管理インターフェースへの暗号化通信を復号して検査すること、管理サービスへの通信でThreat Preventionを有効にすることが条件です。単に署名を有効にするだけでは、告知の条件を満たしません。[1]

提供元は、既知パターン以外の変種は現在の署名で検知できない可能性を挙げ、影響する環境では対象外の版への更新を推奨しています。[1]

脆弱性の公表・更新一覧 2026年10月版の表紙
資料（無料）脆弱性の公表・更新一覧 2026年10月版60日間の公表・更新と、悪用が確認された脆弱性を分析し、どこから直すかの考え方と確認の手順をまとめた資料です。
PDFを受け取る

よくある質問

PAN-OSで管理画面を公開していなければ対象外ですか？

いいえ。影響を受けるために特別な設定は不要で、認証済み攻撃者から管理インターフェースへ届くことが条件です。外部公開はリスクを高めますが、外部公開していないことだけで修正済みにはなりません。[1]

PAN-OSの同じ系列なら、最新のhotfixへ必ず上げる必要がありますか？

条件によります。告知は系列内の複数の修正hotfixを示しています。例えば12.1.4-h12と12.1.7-h8も修正版で、12.1.10-h2だけが唯一の選択肢ではありません。現在の保守枝に対応する表を確認します。[1]

Cloud NGFWやPrisma Accessも対象ですか？

いいえ。提供元は両製品の全バージョンを対象外としています。[1]

Threat Preventionがあれば更新を待てますか？

条件付きの限定的な検知であり、更新の代わりにはなりません。指定の署名に加え、管理通信の経路とSSL復号などの条件があり、既知パターン以外を検知できない可能性も示されています。[1]

告知のIPアドレスがログにあれば侵害されていますか？

それだけでは確定できません。提供元が示したのは脅威活動と限定的な悪用試行との関連です。通信記録に現れた事実と、コード実行に成功した証拠を分けて調べます。[1]

出典・参考資料

  1. Palo Alto Networks：CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface2026-10-15公表（日本時間。CVE記録のdatePublicは2026-10-14T16:00:00Z）、2026-11-05確認　／　対象構成、CVSS、限定的な悪用、系列別修正版、関連IPアドレス、条件付き緩和策
  2. CVE Program：CVE-2026-0322（採番：Palo Alto Networks、CISA ADP追記）2026-10-15公表・更新（日本時間）、2026-11-05確認　／　識別番号、公表時刻、affectedの範囲、CVSS、CISA追記による2026-10-14のKEV追加

あわせて読みたい記事

ファイアウォール・UTM公開 2026-11-02

Cisco ASAの脆弱性CVE-2026-76418｜FTDも対象、悪用確認、VPN経由の再起動と修正版

Cisco Secure Firewall ASA・FTDのリモートアクセスSSL VPNに、認証なしで機器を再起動させられる脆弱性CVE-2026-76418があり、悪用が確認されています。二次認証を設定した機器が対象で、修正版に上げます。

遠隔管理・IT運用公開 2026-11-02

BeyondTrustの脆弱性CVE-2026-102764｜Remote Supportで悪用確認、パッチと侵害の確認

BeyondTrust Remote Supportの脆弱性CVE-2026-102764は、遠隔の攻撃者に機器上のファイルを操作されるおそれがあり、米CISAが悪用を確認しています。26.2.3以前が対象で、BT26-05-RSパッチを当てたうえで侵害の痕跡を調べます。