Palo Alto Networks 已發布安全更新，修補 PAN-OS 中一個高危遠端執行代碼漏洞。公司確認該漏洞在補丁推出前已被用於攻擊防火牆，因此被歸類為零日漏洞，編號為 CVE-2026-0322。
Palo Alto 已證實漏洞遭實際利用，但在官方發布的材料中並未說明攻擊規模或來源。管理員不應將此沉默視為好消息：一個已被證實在野外遭利用的邊界裝置遠端執行代碼漏洞，不論是否有具名攻擊行動，都應立即處理。
PAN-OS 是驅動 Palo Alto 防火牆產品線的作業系統。該產品線部署在香港大量企業及金融機構的網絡邊界上。
受影響版本與即時處置
Palo Alto 的官方公告列出了受影響的 PAN-OS 版本分支，以及各支援版本線的修復版本。由於版本對照表按分支逐一列出，且會隨新版本推出而持續更新，管理員不應憑記憶或參考二手報導行動——應在每部設備上執行 show system info 取得目前版本，逐行對照官方公告的表格。
處置順序應按暴露程度而非操作便利性排定：
| 優先次序 | 對象 | 行動 |
|---|---|---|
| 1 | 管理介面或閘道服務可從互聯網存取的設備 | 立即修補；若無法在數小時內安排維護時段，先套用廠商提供的緩解措施 |
| 2 | 僅可從內部網絡或已分段網絡存取的設備 | 在一般緊急處理週期內（24 至 48 小時）完成修補 |
| 3 | 沒有可被存取的攻擊面、亦暫無支援升級途徑的設備 | 收緊存取限制、加強監控，並排定升級時程 |
若無法即時修補
當無法立即升級時，Palo Alto 公告中提供的緩解措施可以縮小攻擊面，但不會完全消除功能。核心做法是讓管理介面和閘道服務無法從外部存取：將管理介面綁定至可信的內部來源、透過跳板主機或 VPN 集中器強制存取、並在上游控制點封鎖非預期的入站路徑。這些措施不能取代補丁——只能爭取時間。
升級後檢查
升級一部可能已被入侵的防火牆，並不能單獨證明整體環境已恢復安全。套用修補後應：
- 檢查管理及設定變更日誌，留意不熟悉的來源或非工作時間的活動。
- 輪替管理員憑證，以及設備上儲存的憑證或 API 金鑰。
- 檢查是否有非預期的持久化機制，例如惡意建立的管理員帳號或被竄改的設定區段。
- 確認日誌及轉送至 SIEM 的功能在重啟後仍然正常。
為何重要
這是近年來 PAN-OS 第二次出現需要在全球防火牆系統採取緊急行動的可遠端利用零日漏洞。2024 年 4 月，CVE-2024-3400——GlobalProtect 功能中的命令注入漏洞——曾被用於入侵行動，Palo Alto 自家的 Unit 42 後來將這些入侵與針對政府及企業目標的間諜活動關聯起來。那次事件的教訓是：邊界裝置是高價值目標——它們面向互聯網、在內部網絡中佔有受信任的位置，而且失陷時往往悄無聲息。
CVE-2026-0322 承載的正是同一風險。防火牆所處的位置使它能夠觀察——並且能夠改寫——組織自以為掌握的流量。能在其上執行代碼的攻擊者不只是繞過一道防線，而是在重塑下游所有監控系統賴以判斷的證據。對於在香港數據中心及分支機構運行 PAN-OS 的機構而言，「是否假定已受影響」的判斷應默認答覆為「是，除非能證明沒有」，而第一項任務就是對照 Palo Alto 官方公告核實版本。
管理員應持續監控官方公告頁面，留意版本對照表的後續更新及進一步指引。
Palo Alto Networks 已發布安全更新，修補 PAN-OS 中一個高危遠端執行代碼漏洞。公司確認該漏洞在補丁推出前已被用於攻擊防火牆，因此被歸類為零日漏洞，編號為 CVE-2026-0322。
Palo Alto 已證實漏洞遭實際利用，但在官方發布的材料中並未說明攻擊規模或來源。管理員不應將此沉默視為好消息：一個已被證實在野外遭利用的邊界裝置遠端執行代碼漏洞，不論是否有具名攻擊行動，都應立即處理。
PAN-OS 是驅動 Palo Alto 防火牆產品線的作業系統。該產品線部署在香港大量企業及金融機構的網絡邊界上。
受影響版本與即時處置
Palo Alto 的官方公告列出了受影響的 PAN-OS 版本分支，以及各支援版本線的修復版本。由於版本對照表按分支逐一列出，且會隨新版本推出而持續更新，管理員不應憑記憶或參考二手報導行動——應在每部裝置上執行 show system info 取得目前版本，逐行對照官方公告的表格。
處置順序應按暴露程度而非操作便利性排定：
| 優先次序 | 對象 | 行動 |
|---|---|---|
| 1 | 管理介面或閘道服務可從互聯網存取的裝置 | 立即修補；若無法在數小時內安排維護時段，先套用廠商提供的緩解措施 |
| 2 | 僅可從內部網絡或已分段網絡存取的裝置 | 在一般緊急處理週期內（24 至 48 小時）完成修補 |
| 3 | 沒有可被存取的攻擊面、亦暫無支援升級途徑的裝置 | 收緊存取限制、加強監控，並排定升級時程 |
若無法即時修補
當無法立即升級時，Palo Alto 公告中提供的緩解措施可以縮小攻擊面，但不會完全消除功能。核心做法是讓管理介面和閘道服務無法從外部存取：將管理介面綁定至可信的內部來源、透過跳板主機或 VPN 集中器強制存取、並在上游控制點封鎖非預期的入站路徑。這些措施不能取代補丁——只能爭取時間。
升級後檢查
升級一部可能已被入侵的防火牆，並不能單獨證明整體環境已恢復安全。套用修補後應：
- 檢查管理及設定變更日誌，留意不熟悉的來源或非工作時間的活動。
- 輪換管理員憑證，以及裝置上儲存的憑證或 API 金鑰。
- 檢查是否有非預期的持久化機制，例如惡意建立的管理員帳號或被竄改的設定區段。
- 確認日誌及轉送至 SIEM 的功能在重啟後仍然正常。
為何重要
這是近年來 PAN-OS 第二次出現需要在全球防火牆系統採取緊急行動的可遠端利用零日漏洞。2024 年 4 月，CVE-2024-3400——GlobalProtect 功能中的 command injection（指令注入）漏洞——曾被用於入侵行動，Palo Alto 自家的 Unit 42 後來將這些入侵與針對政府及企業目標的間諜活動關聯起來。那次事件的教訓是：邊界裝置是高價值目標——它們面向互聯網、在內部網絡中佔有受信任的位置，而且失陷時往往悄無聲息。
CVE-2026-0322 承載的正是同一風險。防火牆所處的位置使它能夠觀察——並且能夠改寫——組織自以為掌握的流量。能在其上執行代碼的攻擊者不只是繞過一道防線，而是在重塑下游所有監控系統賴以判斷的證據。對於在香港數據中心及分支機構運行 PAN-OS 的機構而言，「是否假定已受影響」的判斷應默認答覆為「是，除非能證明沒有」，而第一項任務就是對照 Palo Alto 官方公告核實版本。
管理員應持續監控官方公告頁面，留意版本對照表的後續更新及進一步指引。