Palo Alto Networks cảnh báo lỗ hổng RCE nghiêm trọng CVE-2026-0330 trên PAN-OS

• Lỗ hổng mới: CVE-2026-0330 là lỗ hổng thực thi mã từ xa (RCE) ảnh hưởng đến phần mềm PAN-OS trên các thiết bị Panorama.
• Cơ chế tác động: Cho phép quản trị viên đã xác thực thực thi mã tùy ý với đặc quyền root (CWE-94).
• Phạm vi ảnh hưởng: Các dòng sản phẩm Cloud NGFW, Prisma Access và tường lửa PAN-OS độc lập không bị ảnh hưởng.
• Khuyến nghị: Quản trị viên cần áp dụng bản vá ngay lập tức và hạn chế truy cập quản trị từ internet.

Palo Alto Networks vừa phát đi thông báo bảo mật quan trọng liên quan đến một lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng trong phần mềm PAN-OS chạy trên các thiết bị quản lý tập trung Panorama. Lỗ hổng này, được định danh là CVE-2026-0330, cho phép một quản trị viên đã được xác thực nhưng có quyền hạn hạn chế có thể leo thang đặc quyền và thực thi mã tùy ý với quyền root trên hệ thống.

Phân tích kỹ thuật về lỗ hổng CVE-2026-0330

Theo các nhà nghiên cứu bảo mật, lỗ hổng này được phân loại theo mã CWE-94 (Code Injection), cho phép kẻ tấn công vượt qua các giới hạn quản trị thông thường. Mặc dù yêu cầu kẻ tấn công phải có quyền truy cập mạng và đã xác thực vào giao diện quản trị của Panorama, nhưng một khi đã khai thác thành công, tác động là rất lớn do khả năng kiểm soát toàn bộ hệ thống với quyền root.

Điểm đáng chú ý là lỗ hổng này không yêu cầu bất kỳ cấu hình đặc biệt nào để trở nên dễ bị tổn thương. Tuy nhiên, đây không phải là một cuộc tấn công không cần xác thực (unauthenticated attack) mà bất kỳ ai trên internet cũng có thể thực hiện trực tiếp. Điều này nhấn mạnh tầm quan trọng của việc bảo mật các tài khoản quản trị và kiểm soát truy cập mạng chặt chẽ.

Phân biệt với các mối đe dọa trước đó

Các chuyên gia an ninh mạng lưu ý rằng lỗ hổng CVE-2026-0330 hoàn toàn tách biệt với lỗ hổng thực thi mã root trước đó là CVE-2026-0322. Trong khi CVE-2026-0322 đã ghi nhận các trường hợp bị khai thác thực tế, thì đối với CVE-2026-0330, Palo Alto Networks khẳng định hiện chưa có bằng chứng về việc lỗ hổng này bị lợi dụng trong các chiến dịch tấn công thực tế.

Hướng dẫn cập nhật bản vá và khắc phục

Để bảo vệ hệ thống, quản trị viên cần thực hiện nâng cấp lên các phiên bản đã được vá lỗi. Dưới đây là danh sách các phiên bản an toàn cho từng dòng PAN-OS trên Panorama:

• PAN-OS 12.2: Cập nhật lên 12.2.4-h2
• PAN-OS 12.1: Cập nhật lên 12.1.10-h4 hoặc các tùy chọn 12.1.4-h14, 12.1.7-h12
• PAN-OS 11.2: Cập nhật lên 11.2.16-h2 hoặc các tùy chọn 11.2.4-h24, 11.2.7-h24, 11.2.10-h18, 11.2.13-h5
• PAN-OS 11.1: Cập nhật lên 11.1.16-h5
• PAN-OS 10.2: Cập nhật lên 10.2.18-h14

Đối với các phiên bản không còn được hỗ trợ, người dùng bắt buộc phải nâng cấp lên các nhánh phiên bản hiện tại đang được hỗ trợ và đã có bản vá. Bạn có thể tham khảo thêm thông tin chi tiết tại Palo Alto Networks Security Advisories.

⚠️ Cảnh báo quan trọng: Hiện tại không có giải pháp thay thế (workaround) nào có thể khắc phục triệt để lỗ hổng này. Việc hạn chế truy cập quản trị vào các địa chỉ IP nội bộ tin cậy hoặc sử dụng jump box là biện pháp giảm thiểu rủi ro cần thiết, nhưng không thể thay thế cho việc cập nhật bản vá bảo mật chính thức.

Việc tuân thủ các hướng dẫn bảo mật quản trị, bao gồm việc không phơi bày giao diện quản lý ra internet công cộng, là yếu tố then chốt để giảm thiểu bề mặt tấn công. Các tổ chức nên rà soát lại cấu hình tường lửa và chính sách truy cập để đảm bảo rằng chỉ những người dùng được ủy quyền mới có thể tiếp cận giao diện quản trị của Panorama.