Il CSIRT Italia, il centro nazionale che fa parte dell’Agenzia per la cybersicurezza nazionale, ha pubblicato il 15 ottobre 2026 l’alert AL02/261015/CSIRT-ITA. Riguarda PAN-OS, il sistema operativo dei firewall di Palo Alto Networks. La vulnerabilità si chiama CVE-2026-0322 e ha un punteggio CVSSv4 di 8.6, quindi una gravità definita “alta”. Secondo l’alert, è già stato rilevato uno sfruttamento attivo in rete.
Il CSIRT valuta inoltre l’impatto sistemico come “critico”, con un valore di 77.69.
Chi è coinvolto
Il problema è nell’interfaccia di management di PAN-OS, cioè la parte del software con cui si amministra il dispositivo. Secondo l’alert, sono interessate queste versioni:
- 12.2.x: versioni precedenti alla 12.2.4
- 12.1.x: dalla 12.1.8 alla 12.1.10-h*, dalla 12.1.5 alla 12.1.7-h*, dalla 12.1.2 alla 12.1.4-h*
- 11.2.x: dalla 11.2.14 alla 11.2.15, dalla 11.2.11 alla 11.2.13-h*, dalla 11.2.8 alla 11.2.10-h*, dalla 11.2.5 alla 11.2.7-h*, dalla 11.2.0 alla 11.2.4-h*
- 11.1.x: dalla 11.1.14 alla 11.1.16-h*, dalla 11.1.11 alla 11.1.13-h*, dalla 11.1.8 alla 11.1.10-h*, dalla 11.1.7 alla 11.1.7-h*, dalla 11.1.5 alla 11.1.6-h*, dalla 11.1.0 alla 11.1.4-h*
- 10.2.x: dalla 10.2.17 alla 10.2.18-h*, dalla 10.2.14 alla 10.2.16-h*, dalla 10.2.11 alla 10.2.13-h*, dalla 10.2.8 alla 10.2.10-h*, dalla 10.2.0 alla 10.2.7-h*
Che rischio c’è
La CVE-2026-0322 è una “Remote Code Execution”, cioè una falla che permette di far eseguire comandi a un dispositivo da remoto. Secondo l’alert, un attaccante autenticato, con accesso alla rete, potrebbe usarla per eseguire codice arbitrario con privilegi root. I privilegi root sono i più alti possibili su un sistema: chi li ottiene può in pratica controllare l’intero dispositivo.
Un firewall sta tra la rete interna di un’organizzazione e l’esterno. Se un attaccante ne prende il controllo, può comprometterne il funzionamento. L’alert non indica però attori, vittime o modalità specifiche degli attacchi osservati.
Nella tabella dell’alert lo sfruttamento risulta “presente”. Per questa vulnerabilità non è indicata la disponibilità di un codice dimostrativo pubblico.
Cosa fare
Il CSIRT Italia, in linea con le dichiarazioni del produttore, raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza di Palo Alto Networks, pubblicato all’indirizzo security.paloaltonetworks.com/CVE-2026-0322.
Si suggerisce poi di cercare eventuali indicatori di compromissione (IoC), cioè tracce che indicano una possibile intrusione. Il produttore li elenca nella sezione “Frequently Asked Questions” dello stesso bollettino. L’alert riporta tre indirizzi IP di origine: 66.42.72.14, 208.83.239.114 e 149.248.47.234. Il CSIRT precisa che, per definizione, non tutti gli indicatori sono malevoli e che non risponde delle azioni preventive prese sulla base di questi dati.
Come ulteriori accorgimenti di buon senso, chi gestisce questi dispositivi può controllare quale versione di PAN-OS è in uso e avvisare il proprio fornitore IT, se la gestione è affidata a terzi.
Fonte: alert AL02/261015/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 15 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
