פאלו אלטו תיקנה חולשה בממשק הניהול של PAN-OS שמאפשרת לתוקף עם חשבון מאומת להריץ קוד בהרשאות root על חומת האש. הציון הוא 8.6 מתוך 10, והחולשה נכנסה ב-14 באוקטובר 2026 לרשימת החולשות שידוע שמנוצלות בשטח. מה שמחזיק את הציון מתחת ל-9 הוא גם מה שקובע למי זה רלוונטי: צריך קודם חשבון.

מה החולשה?

ממשק הניהול של חומת אש הוא המסך שבו מגדירים אותה: כללי סינון, משתמשים, עדכונים. הוא מיועד למי שמנהל את המכשיר, ולא לכל מי שמגיע מהרשת.

החולשה היא במה שהממשק הזה עושה עם קלט שהוא מקבל. כשתוכנה לוקחת טקסט שהגיע מבחוץ ומכניסה אותו למקום שבו הוא מתפרש כקוד ולא כנתון, מי שכותב את הטקסט כותב בפועל קוד שהמערכת תריץ. לסוג הבאג הזה קוראים הזרקת קוד, וזה הסיווג שהחולשה הזאת קיבלה.

הקוד רץ בהרשאות root על מערכת ההפעלה של חומת האש, ובין שני הדברים האלה יש הפרש אמיתי. חשבון מנהל בממשק הניהול מאפשר לשנות את הגדרות המכשיר בתוך הגבולות שהממשק מתיר. root על מערכת ההפעלה שמתחתיו מאפשר הכול, כולל דברים שהממשק לא מציע ושאינם נרשמים ביומן שלו.

מכאן גם הציון. ווקטור החומרה מסמן שנדרשות הרשאות גבוהות, כלומר התוקף צריך להיות בפנים לפני שהוא מתחיל, וזה מה שמוריד את 8.6 מתחת לחולשות שאינן דורשות כלום. אותו ווקטור מסמן גם שהחולשה מנוצלת בפועל, וזה כבר מרכיב בציון עצמו ולא הערה בשוליים.

מי מושפע?

לפי פאלו אלטו, החולשה נוגעת ל-PAN-OS על חומות אש מסדרות PA ו-VM, וגם על Panorama בגרסת השרת הווירטואלי ובמכשירי M-Series. Cloud NGFW ו-Prisma Access אינם מושפעים.

Panorama הוא מה שמשנה כאן את סדר הגודל. זה שרת הניהול המרכזי שממנו מגדירים חומות אש רבות בבת אחת, כך שבארגון שמשתמש בו אותה חולשה חלה גם על הנקודה האחת ששולטת בכל השאר.

הרשומה ב-NVD אינה מפרטת רשימת גרסאות, ומספרי הגרסאות המתוקנות מופיעים בהודעת האבטחה של פאלו אלטו.

בישראל חומות אש של פאלו אלטו נפוצות בארגונים בינוניים וגדולים ובגופים ציבוריים. זאת חולשה ארגונית לחלוטין, ולמשתמש פרטי אין כאן שום פעולה לעשות.

האם מנוצלת בפועל?

כן. ב-14 באוקטובר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שבו נרשמות רק חולשות שיש עדות לניצול שלהן בשטח. התאריך שנקבע לגופים הפדרליים בארצות הברית להשלים את התיקון הוא 17 באוקטובר.

הדרישה לחשבון מאומת מצמצמת את מי שיכול לנצל את החולשה, והיא לא מבטלת אותה. פרטי אימות של מנהל רשת הם דבר שנגנב, נדלף ונמכר, והמסלול שהחולשה הזאת פותחת הוא בדיוק המסלול שתוקף מחפש אחרי שהשיג חשבון כזה: מהרשאות בתוך הממשק אל שליטה במכונה.

מה עושים?

1. בדקו קודם מי יכול להגיע בכלל לממשק הניהול. פאלו אלטו מציינת במפורש שהסיכון קטן כשהגישה לממשק מוגבלת לכתובות פנימיות מהימנות בלבד, לפי מדריך ההקשחה שלה. ממשק ניהול שחשוף לאינטרנט הוא הדבר הראשון לסגור, עוד לפני העדכון.

2. עדכנו את PAN-OS לפי הודעת האבטחה של היצרן, וזכרו שהרשימה כוללת גם את Panorama ולא רק את חומות האש עצמן.

3. עברו על חשבונות הניהול של המכשיר. החולשה מתחילה מחשבון מאומת, ולכן השאלה המעשית היא מי מחזיק חשבון כזה: חשבונות של אנשים שעזבו, חשבונות משותפים, וחשבונות שירות עם הרשאות מלאות.

4. אם ממשק הניהול היה חשוף לרשת רחבה לפני העדכון, בדקו את יומני הכניסה אליו. חולשה שמנוצלת בשטח ומעניקה root מצדיקה מבט לאחור על מי התחבר ומאיפה.