Kerngegevens
- Leverancier
- Palo Alto Networks
- Soort software
- firewall
- Getroffen versies
- PAN-OS 12.2 ouder dan 12.2.4
- PAN-OS 12.1 ouder dan 12.1.4-h12, 12.1.7-h8 of 12.1.10-h2 (per train)
- PAN-OS 11.2 ouder dan 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 of 11.2.16 (per train)
- PAN-OS 11.1 ouder dan 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 of 11.1.16-h3 (per train)
- PAN-OS 10.2 ouder dan 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 of 10.2.18-h12 (per train)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- PAN-OS 12.2 12.2.4
- PAN-OS 12.1 12.1.4-h12 / 12.1.7-h8 / 12.1.10-h2
- PAN-OS 11.2 11.2.4-h22 / 11.2.7-h21 / 11.2.10-h15 / 11.2.13-h3 / 11.2.16
- PAN-OS 11.1 11.1.4-h37 / 11.1.6-h39 / 11.1.7-h11 / 11.1.10-h35 / 11.1.13-h15 / 11.1.16-h3
- PAN-OS 10.2 10.2.7-h38 / 10.2.10-h41 / 10.2.13-h26 / 10.2.16-h11 / 10.2.18-h12
- CVE gepubliceerd
- 14 oktober 2026
- Op de KEV-lijst sinds
- 14 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de beheerinterface van PAN-OS, het besturingssysteem van Palo Alto Networks-firewalls, zit een fout waarmee een aanvaller eigen code kan laten uitvoeren. Die code draait met root-rechten, de hoogste rechten op de firewall. De aanvaller moet wel eerst zijn ingelogd en toegang hebben tot het netwerk waarop de beheerinterface bereikbaar is. Het lek staat sinds oktober 2026 op de lijst van actief misbruikte lekken van CISA en is onlangs aan die lijst toegevoegd.
Wie loopt risico?
Je loopt risico als je PAN-OS gebruikt op PA-Series- of VM-Series-firewalls, of op Panorama (virtueel of M-Series), in een versie zonder de hotfix. Het risico is vooral groot als de beheerinterface bereikbaar is vanaf onvertrouwde netwerken of vanaf internet. Palo Alto Networks zag beperkt misbruik gericht op de beheerinterface. Cloud NGFW en Prisma Access zijn niet getroffen.
Wat moet je doen?
Installeer direct de hotfix
Werk PAN-OS bij naar de opgeloste versie voor jouw train, bijvoorbeeld 12.2.4, 11.1.16-h3 of 10.2.18-h12 (zie de lijst met opgeloste versies). Voor 11.2.16 noemde Palo Alto 15 oktober als verwachte releasedatum; de hotfixes voor de andere 11.2-trains zijn er al. Draai je een niet meer ondersteunde versie, stap dan over op een ondersteunde versie met de oplossing.
Beperk de toegang tot de beheerinterface
Er is geen workaround. Zorg wel dat de beheerinterface alleen bereikbaar is vanaf vertrouwde interne IP-adressen of een jumpbox, en nooit vanaf internet.
Zet Threat Prevention-signaturen aan
Heb je een Threat Prevention-abonnement, activeer dan Threat ID 510046 en 510047 (content 9159-10287 of nieuwer). Dit vereist SSL-decryptie van het beheerverkeer en biedt volgens Palo Alto maar beperkte dekking.
Controleer op tekenen van misbruik
Kijk in de logbestanden van de beheerinterface naar onverwachte inlogpogingen, nieuwe accounts of configuratiewijzigingen. Palo Alto noemt verkeer vanaf 66.42.72.14, 208.83.239.114 en 149.248.47.234 als verdacht.
Beperk de gevolgen van gestolen inloggegevens
De aanvaller moet ingelogd zijn. Controleer daarom wie beheerrechten heeft, verwijder accounts die niet meer nodig zijn en wijzig wachtwoorden als je twijfelt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een code-injectiefout (CWE-94) in de beheerinterface van PAN-OS. Een geauthenticeerde aanvaller met netwerktoegang tot die interface kan willekeurige code uitvoeren met root-rechten op de firewall. De aanvalsroute loopt via het netwerk. De CVSS 4.0-score is 8,6, met hoge gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. De fout geldt voor PAN-OS op PA-Series- en VM-Series-firewalls en op Panorama (virtueel en M-Series). Er is geen publiek exploit bekend in de gegevens, maar het lek staat wel op de KEV-lijst van CISA.
CVSS-vector (versie 4.0, basisscore 8,6, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:N/R:U/V:D/RE:M/U:Red- Zwakheid (CWE)
- CWE-94 · Onjuiste beheersing van codegeneratie (code-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 14 oktober 2026
- Deadline van CISA
- 17 oktober 2026
- Gebruikt door ransomwaregroepen
- Niet bekend