Cảnh báo lỗ hổng thực thi mã từ xa CVE-2026-0322 trên hệ điều hành PAN-OS

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa chính thức đưa một lỗ hổng bảo mật nghiêm trọng trên các dòng thiết bị của Palo Alto Networks vào danh mục Các lỗ hổng đã bị khai thác (KEV). Vấn đề này, mang định danh CVE-2026-0322, tác động trực tiếp tới giao diện quản trị của hệ điều hành PAN-OS và trao cho kẻ tấn công khả năng thực thi mã tùy ý dưới quyền hạn cao nhất.

Chi tiết kỹ thuật và mức độ nguy hiểm của CVE-2026-0322

Theo phân tích từ các chuyên gia bảo mật, lỗ hổng CVE-2026-0322 thuộc chuẩn CWE-94, xuất phát từ việc hệ thống thiếu sự kiểm soát chặt chẽ đối với các dữ liệu đầu vào. Điều này tạo cơ hội cho đối tượng xấu chèn mã độc hại thông qua giao diện quản trị tường lửa. Với điểm số CVSS đạt 8.6 trên thang điểm 4.0, đây được đánh giá là điểm yếu có mức độ rủi ro lớn, nhất là khi các thiết bị này thường được bố trí ngay tại vùng biên mạng của các doanh nghiệp và tổ chức.

Mặc dù quá trình khai thác đòi hỏi kẻ tấn công phải sở hữu sẵn thông tin đăng nhập hợp lệ cùng quyền truy cập mạng vào khu vực quản trị, nhưng tác động sau khi chiếm được quyền root là vô cùng nặng nề. Kẻ gian có thể tùy chỉnh cấu hình thiết bị tường lửa, tắt bỏ các cơ chế bảo vệ cốt lõi hoặc thiết lập kênh điều khiển C2 nhằm duy trì quyền kiểm soát lâu dài bên trong hệ thống mạng nội bộ.

Phạm vi ảnh hưởng và yêu cầu xử lý từ cơ quan chức năng

Sự cố này tác động đến nhiều dòng sản phẩm phần cứng và ảo hóa của Palo Alto Networks, bao gồm các thiết bị tường lửa thuộc dòng PA-Series, VM-Series, cùng với các hệ thống quản lý Panorama và M-Series. Tuy nhiên, các dịch vụ như Cloud NGFW và Prisma Access hiện không nằm trong diện bị ảnh hưởng. Trước tình hình trên, CISA đã ban hành Chỉ thị Vận hành Ràng buộc (BOD) 26-04, yêu cầu các cơ quan chính phủ và tổ chức liên quan tiến hành rà soát pháp y toàn diện thay vì chỉ áp dụng bản vá thông thường.

Các biện pháp phòng ngừa và khuyến cáo cho quản trị viên

Hiện tại, nhà sản xuất chưa cung cấp giải pháp tạm thời nào mang tính triệt để đối với lỗ hổng này, do đó việc tuân thủ các nguyên tắc an toàn thông tin là ưu tiên hàng đầu. Palo Alto Networks khuyến nghị người dùng cần siết chặt quyền truy cập vào giao diện quản trị, chỉ cho phép kết nối từ các địa chỉ IP nội bộ đã được kiểm duyệt, đồng thời ưu tiên sử dụng máy chủ trung gian được bảo vệ kỹ lưỡng.

Đối với các đơn vị đang sử dụng tính năng Threat Prevention, việc kích hoạt các mã nhận diện mối đe dọa Threat ID 510046 và 510047 có thể hỗ trợ phát hiện các dấu hiệu xâm nhập. Dù vậy, nhà cung cấp lưu ý giải pháp này có hiệu quả hạn chế và đòi hỏi phải giải mã lưu lượng SSL đối với các kết nối quản trị đầu vào. Ngoài ra, việc giám sát chặt chẽ các kết nối ra ngoài từ hệ thống quản lý cũng đóng vai trò cốt lõi trong hoạt động truy tìm mối đe dọa.

Quản trị viên nên theo dõi sát sao thông tin từ trang thông báo bảo mật chính thức của Palo Alto Networks để lên kế hoạch nâng cấp phiên bản an toàn, đặc biệt đối với các hệ thống đang vận hành theo mô hình dự phòng HA hoặc quản lý tập trung thông qua Panorama.