Palo Alto PAN-OS : CVE-2026-0322 exploitée, un patch sans contournement, et 3 jours pour les agences fédérales
> En bref : Le 14 octobre 2026, CISA a ajouté CVE-2026-0322 au catalogue KEV. C'est une faille d'injection de code dans PAN-OS, le système de vos pare-feu Palo Alto, qui touche l'interface de gestion. Palo Alto parle d'une exploitation très limitée, mais il n'existe aucun contournement connu : seul le correctif règle le problème. Les agences fédérales américaines ont jusqu'au 17 octobre.
Ce qui est touché
Pourquoi l'interface de gestion est le vrai sujet
Un pare-feu ne se contente pas de filtrer : il est le point de passage de tout le trafic. Si son interface d'administration est accessible depuis Internet, une faille sur cette interface donne la main sur l'appareil qui contrôle vos flux. Les sources divergent sur la question de savoir si un compte est nécessaire pour l'exploiter. Tant que l'avis Palo Alto ne tranche pas, considérez la faille comme exploitable sans authentification.
Ce qu'il faut faire maintenant
La leçon
Un pare-feu est souvent le seul équipement que personne ne surveille, parce qu'il « marche ». Sa console d'administration doit être traitée comme un système à protéger en priorité, pas comme un détail de configuration.
Vous éditez un logiciel ? CleanIssue réalise des audits de sécurité pour votre produit en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.
Articles liés
Trois analyses proches pour continuer la lecture sur la meme surface de risque.
FortiMail : une RCE pré-authentification sur le service POP3 (CVE-2026-44812) rejoint le CISA KEV
Débordement de tampon dans le service POP3 de FortiMail : exécution de code sans authentification, CVSS 8.8. CISA l'inscrit dans la KEV le 2 octobre (deadline 30 octobre). Corrigé dans 7.6.6 et 8.0.4 — 9 412 instances restent exposées selon Palo Alto Unit 42.
Citrix NetScaler : CVE-2026-88779, une troisième RCE pré-auth qui touche aussi les builds patchés 88771/88772 — KEV CISA
CISA inscrit CVE-2026-88779 dans la Known Exploited Vulnerabilities : RCE pré-authentification par race condition dans le session manager du Web Interface, CVSS 9.1, affectant aussi les versions corrigées de 88771/88772. PoC de watchTowr, 43 812 instances encore exposées, deadline CISA le 30 octobre.
Flax Typhoon : CISA ajoute cinq failles de 2015 à 2023 au KEV, signe que les vieux correctifs manquants restent la porte d'entrée
Après un avis conjoint de sept pays sur Integrity Technology Group, CISA ajoute ProFTPD, ONLYOFFICE, Strapi, Struts et BIND au KEV. Date limite fédérale : 11 octobre. Huit failles servent d'accès initial, dont une de 2014.
Sources
Services associés
Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.
Red Team Agent Express
Savoir rapidement ce qu'un inconnu peut faire faire à votre agent. Rapport en 5 jours.
Red Team sur mesure
Plusieurs agents, des serveurs MCP ou des agents livrés par une agence : sur devis.
Le Shield
Le logiciel qui bloquera les actions non autorisées. En développement, accès anticipé pour les premiers clients.