Palo Alto 防火牆 PAN-OS 漏洞 (CVE-2026-0310) 允許遠端執行程式碼

Palo Alto 防火牆 PAN‑OS 漏洞 (CVE‑2026‑0310) 允許遠端執行程式碼

上週，資安巨頭 Palo Alto Networks 公布了防火牆作業系統 PAN‑OS 的嚴重弱點 CVE‑2026‑0310。該缺陷屬於記憶體緩衝區溢位（Buffer Overflow）類型，出現在 XML 處理模組。若攻擊者在未通過身分驗證的情況下存取管理網頁或資料轉發（dataplane）介面，即可在實體防火牆取得 root 權限，或在虛擬版防火牆造成阻斷服務（DoS）攻擊。

背景與影響範圍

此漏洞影響 10.2 至 12.2 版 的 PAN‑OS、10.2 至 12.1 版 的 Prisma Access，以及部署於 AWS 或 Azure 的雲端防火牆 Cloud NGFW。根據 CVSS v4.0 評分，基礎嚴重度為 9.2（加入威脅指標 CVSS‑BT 後降至 7.2），Palo Alto Networks 將其列為 高風險，並以 Urgency Highest（最高緊急等級）呼籲用戶立即套用修補程式。

• 實體防火牆（PA 系列）：攻擊者可取得系統最高權限，執行任意程式碼，等同完全控制設備。
• 虛擬防火牆（VM 系列）：主要危害為服務中斷，雖未取得 root，仍會造成業務不可用。
• Prisma Access 與 Cloud NGFW：因外部存取受限且需身分驗證，危險程度降為 中度，但仍不可掉以輕心。

IT 人員可透過限制管理介面的存取來源、加強身分驗證機制，降低漏洞被利用的機會。

未來展望與建議

Palo Alto 已於 9 月 10 日同步釋出安全更新，所有受影響的設備與雲端服務均應在最短時間內完成升級。企業在部署防火牆時，應定期檢視供應商的安全公告，並建立 補丁管理 流程，以免類似高危漏洞再度衝擊營運。

同時，建議組織加強以下防護措施：

1. 最小化管理介面暴露：僅允許受信任的內部 IP 存取管理入口。

2. 多因素驗證（MFA）：即使攻擊者取得網頁存取權，也難以通過額外驗證。

3. 持續監控與異常偵測：利用行為分析工具即時捕捉異常的 XML 請求或系統行為。

隨著雲端防火牆與虛擬化技術的普及，類似的程式碼執行漏洞將持續成為資安焦點。唯有保持警覺、快速回應，才能在瞬息萬變的威脅環境中，確保網路防禦的堅實與可靠。