【緊急】Palo Alto Networks PAN-OS CVE-2026-0322：管理画面の認証済みRCEでroot権限を取られる（CVSS v4.0 8.6）— 悪用確認済み、修正版へ更新し管理インターフェースをインターネットに出さない

Palo Alto Networks のファイアウォールOS「PAN-OS」の管理インターフェースに、認証を通った攻撃者が、機器のroot権限で任意のコードを実行できる脆弱性が見つかりました。CVE-2026-0322です。メーカーは2026年10月14日にアドバイザリを公開し、「Palo Alto Networksの管理インターフェースを狙った、ごく限定的な悪用を確認している」と書いています。CISAも同じ日にKEV（悪用が確認された脆弱性のカタログ）へ追加し、米国連邦機関の是正期限を10月17日としました。

回避策はありません。修正版へ更新してください。そして、管理インターフェースをインターネットに出していないかを今日確認してください。メーカーは、インターネット側の外部IPから管理インターフェースへ届く構成が、もっともリスクが高いと書いています。特別な設定をしていなくても影響を受けます（アドバイザリの「構成」の欄）。

昨日（10月15日）の記事で、同じ日にKEVへ追加された4件のうち、PAN-OSは概要だけを載せました。今日はメーカーのアドバイザリを開き、修正版の一覧まで確認したので、本編として書きます。

このスコアの出どころを明記します。8.6は採番元のPalo Alto Networksが、CVSS v4.0で付けた評価で、ベクタは `CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`（管理インターフェースがインターネットから届く場合）です。メーカーは、管理インターフェースへのアクセスを踏み台サーバー（ジャンプボックス）だけに絞った場合を別の値として示しており、v4.0で8.5（攻撃元が隣接ネットワークに限られる）です。

NVDは2026年10月15日の確認時点で「Analyzed（分析済み）」で、NISTがCVSS v3.1で7.2（HIGH）を付けています（ベクタは `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`）。v3.1とv4.0で数字が違うのは、版が違うためです。この記事は、メーカーの値（v4.0 8.6）を表に採り、NISTの値を併記します。弱点の種類は CWE-94（コード生成の不適切な制御）です。

今すぐ行う対策

• ✓自分のPAN-OSが影響を受けるか確認する。対象は、PA-Series・VM-Series のファイアウォールと、Panorama（仮想・M-Series）です。Cloud NGFW と Prisma Access は影響を受けません（メーカー）
• ✓管理インターフェースへのアクセス元を確認し、信頼できる内部IPだけに絞る。メーカーが「もっとも推奨する運用」として示しているのは、管理インターフェースを信頼できる内部IPアドレスに限ることです。インターネット側から管理画面へ届くなら、まずそこを閉じます（修正版の適用を待たずにできます）
• ✓さらに踏み込むなら、管理インターフェースへのアクセスを「踏み台サーバー1台だけ」に絞る。メーカーは、これで悪用のリスクを下げられると書いています
• ✓修正版へ更新する。下の「修正版」の表から、自分のバージョンに合う行を選びます。更新は、メーカーが示す手順とメンテナンス時間の中で、計画して行ってください
• ✓更新までの間の補助策：Threat Preventionのサブスクリプションがあれば、Threat ID 510046・510047（Applications and Threats コンテンツ 9159-10287 以降）で限定的な検知ができます。ただし、この検知を効かせるには条件があり（下の「回避策と補助策」）、SSL復号が必要です
• ✓不審な形跡を確認する。管理インターフェースへの不審なログインや、予期しない設定変更・ユーザー追加がないか、ログを見ます。メーカーのFAQは、この脆弱性への攻撃に関連付けられたIPアドレスとして、66[.]42[.]72[.]14、208[.]83[.]239[.]114、149[.]248[.]47[.]234 の3つを挙げています（誤って開かないよう、メーカーの表記のまま「[.]」で区切っています）。管理インターフェースのログに、これらのIPからの接続がないかも確認してください。ない場合でも、侵害されていない証拠にはなりません（当サイトの補足）

何が起きるのか（メーカーの説明）

• ▸場所と種類：PAN-OSの管理インターフェースのリモートコード実行（RCE）です。メーカーの名称は「PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface」。認証済みの攻撃者が、ネットワーク経由で、root権限の任意のコードを実行できます
• ▸「認証済み」の意味：攻撃者は、管理インターフェースにログインできる資格情報などを持っている必要があります（CVSSの PR:H＝高い権限が必要）。ただし、悪用された事例で、攻撃者がどうやってその認証を通ったかは、アドバイザリに書かれていません
• ▸悪用の状況：メーカーは「ごく限定的な悪用を確認」と書いています。CISAもKEVに追加しました。誰が、どの規模で使っているかは公表されていません
• ▸影響を受けない製品：Cloud NGFWとPrisma Access（メーカーが明記）

修正版（メーカーのアドバイザリより）

自分のバージョンの行に合う修正版へ更新してください。ホットフィックス番号（-h）が付くものは、同じ系統の中の修正版です。11.2系は、2026年10月15日に 11.2.16 が公開されました（アドバイザリの更新履歴）。10月14日の初回公開時点では、11.2系の一部は11.2.16が未公開でした。

• ▸PAN-OS 12.2：12.2.0〜12.2.3 → 12.2.4 以降
• ▸PAN-OS 12.1：12.1.8〜12.1.10-h* → 12.1.10-h2 以降／12.1.5〜12.1.7-h* → 12.1.7-h8 または 12.1.10-h2 以降／12.1.2〜12.1.4-h* → 12.1.4-h12 または 12.1.10-h2 以降
• ▸PAN-OS 11.2：11.2.14〜11.2.15 → 11.2.16 以降／11.2.11〜11.2.13-h* → 11.2.13-h3 または 11.2.16 以降／11.2.8〜11.2.10-h* → 11.2.10-h15 または 11.2.16 以降／11.2.5〜11.2.7-h* → 11.2.7-h21 または 11.2.16 以降／11.2.0〜11.2.4-h* → 11.2.4-h22 または 11.2.16 以降
• ▸PAN-OS 11.1：11.1.14〜11.1.16-h* → 11.1.16-h3 以降／11.1.11〜11.1.13-h* → 11.1.13-h15 または 11.1.16-h3 以降／11.1.8〜11.1.10-h* → 11.1.10-h35 または 11.1.16-h3 以降／11.1.7〜11.1.7-h* → 11.1.7-h11 または 11.1.16-h3 以降／11.1.5〜11.1.6-h* → 11.1.6-h39 または 11.1.16-h3 以降／11.1.0〜11.1.4-h* → 11.1.4-h37 または 11.1.16-h3 以降
• ▸PAN-OS 10.2：10.2.17〜10.2.18-h* → 10.2.18-h12 以降／10.2.14〜10.2.16-h* → 10.2.16-h11 または 10.2.18-h12 以降／10.2.11〜10.2.13-h* → 10.2.13-h26 または 10.2.18-h12 以降／10.2.8〜10.2.10-h* → 10.2.10-h41 または 10.2.18-h12 以降／10.2.0〜10.2.7-h* → 10.2.7-h38 または 10.2.18-h12 以降
• ▸サポート終了の古いPAN-OS：サポート中の修正版へ更新（メーカー）
• ▸Cloud NGFW・Prisma Access：対応は不要（メーカー）

回避策と補助策

• ▸メーカーは「既知の回避策はない」と書いています。
• ▸限定的な検知（補助策）：Threat Preventionのサブスクリプションがあるお客様は、Threat ID 510046・510047を有効にすると、限定的な検知が得られます（Applications and Threats コンテンツ 9159-10287 以降）。この検知を機能させるには、次が必要とされています：MGTポートへの通信をデータプレーン（DP）ポート経由にして、DPインターフェースで管理プロファイルを有効にすること／管理通信用の受信証明書を入れ替えること／管理インターフェース宛の受信通信を復号して、ファイアウォールが検査できるようにすること／管理サービス宛の受信通信でThreat Preventionを有効にすること。SSL復号が必要です
• ▸これは修正ではありません。検知は限定的で、条件も重いので、更新と、アクセス元の制限が本筋です（当サイトの見方）

何が起きたか（日付つき）

• ▸2026年10月14日：Palo Alto Networksがアドバイザリを公開（初回公開）。同日、CISAがKEVに追加し、NVDにもCVE-2026-0322が登録されました（NVDが記録する連邦機関の対応期限は10月17日。米国の連邦機関に課された期限で、日本の組織を拘束しませんが、急がれている度合いの目安にはなります）
• ▸10月15日：メーカーが、アドバイザリに「11.2.16を公開した」と更新。NVDの状態が「分析済み」になり、NISTがCVSS v3.1で7.2を付けました
• ▸報告者：メーカー社内の報告者とされています。外部の攻撃者による発見の経緯は、アドバイザリに書かれていません
• ▸同じ10月14日のKEV追加：Cisco Secure Email Gateway（CVE-2026-76519）ほか。Ciscoについては、10月15日の記事で詳しく書きました

確認できなかったこと

• ▸攻撃の実態。誰が、どの規模で、どの組織に使っているかは、メーカーの資料に書かれていません。「ごく限定的」の中身も不明です
• ▸攻撃者が、管理インターフェースの認証をどう通ったか。「認証済み」とあるだけで、資格情報の入手方法は書かれていません
• ▸侵害の痕跡（IoC）の全体像。メーカーが挙げているのは上のIPアドレス3つです。ログの形やファイル名などの指標は、アドバイザリに出ていません。攻撃者が別のIPを使っている可能性は、公表資料からは分かりません
• ▸修正版のリリースの個別の経緯。10月15日に11.2.16が公開されたことまでは確認しましたが、他の修正版が10月14日の初回公開時点で公開済みだったかは確認していません
• ▸メーカーの更新手順の詳細。この記事は、アドバイザリの「修正版」の表の写しであり、更新の手順書ではありません。実際の更新は、メーカーの公式手順に従ってください

共有するならこの3行

• ▸Palo AltoのファイアウォールOS（PAN-OS）の管理画面に、認証済みの攻撃者がroot権限で任意のコードを実行できる脆弱性（CVE-2026-0322・CVSS v4.0 8.6）が見つかり、メーカーは「ごく限定的な悪用」を確認済み。回避策はなく、10月14日にCISAもKEVに追加した
• ▸★管理インターフェースを、信頼できる内部IPだけに絞る。インターネット側から届くなら、まずそこを閉じる。そのうえで、自分のバージョンに合う修正版（例：11.2系は11.2.16以降、12.2系は12.2.4以降）へ更新する。Cloud NGFWとPrisma Accessは対象外
• ▸更新の前後で、管理インターフェースのログを確認する。メーカーが挙げる攻撃関連のIPは3つ（66[.]42[.]72[.]14、208[.]83[.]239[.]114、149[.]248[.]47[.]234）。これらからの接続がないか、不審なログインや設定変更がないかを自社で見る。ないことは、無事の証明にはならない