PAN-OS管理画面にRCE脆弱性CVE-2026-0322、悪用確認で更新急げ

CVE-2026-0322 の概要：何が起きているか

2026年10月14日、Palo Alto Networksは自社のファイアウォールOS「PAN-OS」の管理インターフェースに、認証済みリモートコード実行（RCE）の脆弱性が存在することを公表した（CVE-2026-0322）。同日、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は本脆弱性をKnown Exploited Vulnerabilities（KEV）カタログに追加しており、実際の悪用が確認されたことを意味する（出典：CISA KEVカタログ）。

KEVへの掲載は軽微な警告ではない。CISAがKEVに追加するのは「現実の攻撃に使われた」という判断に基づいており、理論上の脅威ではなく優先度の高い対応が求められる状態を指す。Palo Alto Networks自身も「管理インターフェースを標的にした非常に限定的な悪用（Very limited exploitation）が観測されている」と認めている（出典：Palo Alto Networks セキュリティアドバイザリ）。

弱点の分類はCWE-94（コード生成の不適切な制御、いわゆるコードインジェクション）。CVSS 4.0スコアは、ネットワーク経由で8.6（HIGH）、隣接ネットワーク経由で8.5（HIGH）とベンダー（Palo Alto Networks）が評価している（必要な権限は「高」）。管理インターフェースにネットワークアクセスできる認証済みの攻撃者が、ファイアウォール上でroot権限で任意のコードを実行できる（出典：CVE.org — CVE-2026-0322）。

なお、Cloud NGFWおよびPrisma Accessはいずれも影響を受けない。対象はPA-Series・VM-SeriesファイアウォールのPAN-OSソフトウェア、およびPanorama（仮想・M-Series）に限定される。

関連記事VeloCloud脆弱性、オンプレ版の対応は？ ／ VMware ESX脆弱性、CISA警告と今やることは？

PAN-OS 脆弱性CVE-2026-0322 の影響バージョンと修正版

自組織で稼働しているPAN-OSのバージョンを確認し、下表の「影響を受けるバージョン」に該当するかを最初に確認する。

PAN-OSメジャーライン	影響を受けるバージョン	修正済みバージョン（代表例）
12.2	12.2.0 〜 12.2.3	12.2.4以降
12.1	12.1.0 〜 12.1.10-h1	12.1.4-h12、12.1.7-h8、12.1.10-h2以降（現行バージョンによる）
11.2	11.2.0 〜 11.2.15	11.2.4-h22、11.2.7-h21、11.2.10-h15、11.2.13-h3、11.2.16以降（現行バージョンによる）
11.1	11.1.0 〜 11.1.16-h2	11.1.4-h37、11.1.6-h39、11.1.7-h11、11.1.10-h35、11.1.13-h15、11.1.16-h3以降（現行バージョンによる）
10.2	10.2.0 〜 10.2.18-h11	10.2.7-h38、10.2.10-h41、10.2.13-h26、10.2.16-h11、10.2.18-h12以降（現行バージョンによる）
Cloud NGFW	影響なし	対応不要
Prisma Access	影響なし	対応不要

サポート対象外のバージョン（上記メジャーラインより古い系統）を稼働させている場合は、サポートされている修正済みバージョンへのアップグレードが必要となる。修正版の詳細はPalo Alto Networksの公式セキュリティアドバイザリ（security.paloaltonetworks.com/CVE-2026-0322）で随時更新されているため、実際の対応時は必ず公式を参照する。

本脆弱性には既知の回避策（workaround）が存在しない。ベンダーが明示しているとおり、根本的な対処は修正版へのアップグレードのみとなる。暫定的なリスク低減措置として、管理インターフェースへのアクセスを信頼された内部IPアドレスからのみに制限するベストプラクティスが有効とされているが、これは公式の完全な回避策ではない点に留意する。

Threat Preventionサブスクリプションを契約している環境では、Threat ID 510046および510047（Applications and Threatsコンテンツバージョン9159-10287以降）を有効にすることで、ベンダーが「限定的な防御（limited protection）」と表現する追加的な防御が得られる可能性がある。ただしこの防御にはSSL復号が必要で、アップグレードの代替にもならない。

悪用状況とEPSS

CISAの対処期限（BOD 26-04に基づく2026年10月17日）は米国連邦機関向けで、日本企業に法的拘束力はない。ベンダーは、管理インターフェースを外部IPアドレスに開放している場合のリスクが最も高いとしている。EPSSは2026年10月29日時点で0.0174（パーセンタイル77.7）で、これは確率の統計的推定であり「悪用される」と断定するものではない。

対処——修正版への更新と期限

• 表の修正版へ更新する。詳細はPalo Alto Networksのセキュリティアドバイザリを参照。
• 公式の回避策はない。Threat Preventionの契約があれば、Threat ID 510046・510047による限定的な防御がある（SSL復号が必要）。詳細は公式告知を参照。
• CISAの対処期限は2026年10月17日（米連邦機関向け）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• Palo Alto Networks セキュリティアドバイザリ — CVE-2026-0322 : https://security.paloaltonetworks.com/CVE-2026-0322
• CVE.org — CVERecord CVE-2026-0322 : https://www.cve.org/CVERecord?id=CVE-2026-0322
• NVD（NIST） — CVE-2026-0322 : https://nvd.nist.gov/vuln/detail/CVE-2026-0322
• CISA Known Exploited Vulnerabilities Catalog : https://www.cisa.gov/known-exploited-vulnerabilities-catalog