Palo Alto NetworksがPAN-OSの深刻な脆弱性CVE-2026-0310を修正 — PAシリーズでルート権限の任意コード実行、VMシリーズはDoSに

Palo Alto Networksは2026年9月9日（米国時間）、PAN-OSソフトウェアのXML処理に存在するバッファオーバーフローの脆弱性CVE-2026-0310を公表した。管理系ウェブインターフェースまたはデータプレーンのインターフェースにネットワーク到達できる未認証の攻撃者が悪用した場合、PAシリーズ（ハードウェア）ではルート権限での任意コード実行に、VMシリーズ（仮想アプライアンス）ではサービス停止（DoS）に至るおそれがあるとしている。同社は悪用の報告は現時点で確認していないとしながら、修正版へのアップグレードを呼びかけている。

脆弱性の概要

Palo Alto Networksのアドバイザリによると、脆弱性の詳細は次の通りだ。

• CVE番号: CVE-2026-0310
• 弱点タイプ: CWE-787 Out-of-bounds Write（境界外書き込み）、CAPEC-100 Overflow Buffers
• 影響: PAN-OSのXML処理機能におけるバッファオーバーフロー。攻撃者はネットワーク経由・未認証・ユーザー操作なしで悪用できる。
• 悪用条件: 管理系ウェブインターフェースまたはデータプレーンのインターフェースへネットワーク到達できること。特別な設定は不要とされている。
• CVSS評価: 機種や展開形態により異なる。
  • PAシリーズ（任意コード実行）: CVSS-BT 7.2 / CVSS-B 9.2（CVSS 4.0: AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H）
  • VMシリーズ（DoS）: CVSS-BT 6.6 / CVSS-B 8.7
  • Prisma Access / Cloud NGFW: 認証済みユーザーと外部アクセス制限が条件となるため**中程度（Medium）**の評価と整理されている。

同社はPanoramaも影響を受けると説明している。

影響を受ける製品と修正バージョン

影響を受けるバージョンと、同社が修正済みとして示すバージョンは次の通りだ。系統ごとにホットフィックスとマイナー更新が用意されている。

• PAN-OS 12.2: 12.2.0–12.2.2が影響。12.2.3以降で修正。
• PAN-OS 12.1: 12.1.2–12.1.4-h* は12.1.4-h10以降、12.1.5–12.1.7-h* は12.1.7-h5以降、12.1.8–12.1.9は12.1.10以降で修正。
• PAN-OS 11.2: 11.2.0–11.2.4-h* は11.2.4-h21以降、11.2.5–11.2.7-h* は11.2.7-h20以降、11.2.8–11.2.10-h* は11.2.10-h14以降、11.2.11–11.2.13-h* は11.2.13-h2以降で修正。
• PAN-OS 11.1: 11.1.0–11.1.4-h* は11.1.4-h36以降、11.1.5–11.1.6-h* は11.1.6-h38以降、11.1.7-h* は11.1.7-h10以降、11.1.8–11.1.10-h* は11.1.10-h33以降、11.1.11–11.1.13-h* は11.1.13-h12以降、11.1.14–11.1.16-h* は11.1.16-h2以降で修正。
• PAN-OS 10.2: 10.2.0–10.2.7-h* は10.2.7-h37以降、10.2.8–10.2.10-h* は10.2.10-h40以降、10.2.11–10.2.13-h* は10.2.13-h24以降、10.2.14–10.2.16-h* は10.2.16-h10以降、10.2.17–10.2.18-h* は10.2.18-h10以降で修正。
• Prisma Access / Cloud NGFW: Prisma Access 12.1は12.1.7-h5以降、11.2は11.2.7-h20以降、10.2は10.2.10-h40以降。Cloud NGFWは次回の定期メンテナンスで自動更新されるが、早期更新が必要な場合はサポートへの連絡を求めている。

いずれもサポート対象外の古いバージョンは、サポート対象の修正版へのアップグレードが必要だ。

悪用状況と推奨される対策

Palo Alto Networksは**「現時点で悪用は確認していない」**と説明している。一方で、管理インターフェースがインターネットに露出した状態では、未認証での到達を許すためリスクが高まる。

同社が推奨している対策は次の通りだ。

• 修正版へのアップグレードを速やかに実施する。系統ごとに上記の修正バージョンが示されており、該当するバージョンへ更新する必要がある。Panoramaを利用している場合も同様に更新の対象となる。
• 管理インターフェースへのアクセスを信頼できる内部IPのみに制限する。同社の推奨ベストプラクティスとして示されている対策で、ジャンプボックス経由のみを許可する構成にすることで、ネットワーク経由での悪用リスクを低減できるとしている。
• Prisma AccessやCloud NGFWを利用している組織では、次回メンテナンスを待たずに早期更新が必要な場合は、サポートまたは担当アカウントチームへ連絡してオンデマンドでのアップグレードを手配する。

Palo Alto Networksは今回の脆弱性を内部のセキュリティ研究チームが発見・報告したと説明している。回避策（ワークアラウンド）は存在しないとされているため、同社が示した修正版への更新が唯一の根本対策となる。

国内でもPAシリーズやVMシリーズ、Prisma Accessは大企業や官公署、クラウド基盤で広く利用されている。影響を受けるバージョンを運用している場合は、アドバイザリで示された系統別の修正バージョンを確認し、計画的に更新を進めることが求められる。

出典

• CVE-2026-0310 PAN-OS: Buffer Overflow Vulnerability via XML Processing — Palo Alto Networks Security Advisories