派拓网络对外披露 PAN-OS 远程代码执行 RCE 漏洞，一旦被成功利用，攻击者能够获取设备 root 最高权限，直接在防火墙上跑任意系统指令，核心原因是 PAN-OS 管理接口存在代码注入缺陷，满足访问条件的攻击者可以绕过系统限制执行系统命令，该漏洞影响 PA 系列硬件防火墙、VM-Series 虚拟化防火墙以及 Panorama 管理平台，云防火墙和 Prisma Access 不受影响；企业应急处置流程优先做边界访问收紧、开启威胁检测签名，再核对设备版本、规划系统升级，升级前做好配置备份，避免操作失误导致业务中断；如果防护不到位，黑客拿到 root 权限后，能篡改防火墙策略、窃取内网凭证、横向渗透整个内网，给企业网络带来极高风险。
一、PAN-OS RCE 漏洞基础信息
- 漏洞类型：远程代码执行 RCE（CWE-94 代码注入）
- 权限后果：执行后直接获得 root 权限，不受普通管理员权限约束
- 暴露前提：攻击者能访问防火墙管理接口，部分版本漏洞需要先完成认证
- 受影响设备清单
- PA-Series 硬件防火墙
- VM-Series 虚拟化防火墙
- M-Series、虚拟版 Panorama 管理平台
- 不受影响：Cloud NGFW 云原生防火墙、Prisma Access
二、漏洞风险影响对照表
| 攻击能力 | 会造成的安全后果 | 业务影响等级 |
|---|---|---|
| 执行任意系统命令 | 修改系统文件、植入后门 | 严重 |
| root 权限接管防火墙 | 篡改安全策略、放行恶意流量 | 严重 |
| 读取本地配置文件 | 获取管理员账号、密钥、VPN 凭证 | 严重 |
| 内网横向移动 | 以防火墙为跳板渗透后端服务器 | 高危 |
三、企业分步应急处置操作
步骤 1：临时缓解措施（立刻执行）
- 管理接口禁止公网直接开放，仅放行企业内部可信 IP 段
- 缩减可登录 Web 管理、CLI 接口的管理员账号数量
- 威胁防护订阅可用的设备，启用对应威胁签名拦截攻击载荷
- 关闭不需要对外暴露的管理服务、API 接口
步骤 2：资产自查
- 全网盘点派拓 PAN-OS 防火墙，记录固件版本、管理接口访问策略
- 审计防火墙登录日志，排查陌生 IP、异常登录、异常命令执行记录
- 检查是否存在异常新增管理员账号、陌生定时任务、可疑脚本
步骤 3：长期修复方案
- 参考官方安全公告，升级到已经修复漏洞的 PAN-OS 稳定版本
- 升级前完整导出设备配置，安排业务低峰窗口操作
- 升级完成后复测防火墙策略、VPN、安全防护功能，确认业务正常
四、日常长效防护建议
- 管理平面和业务流量平面做物理或逻辑隔离
- 启用多因素 MFA 认证登录防火墙管理界面
- 定期自动备份防火墙配置，开启日志远程上送至 SIEM 平台
- 订阅派拓安全公告，建立漏洞预警和补丁响应流程
【常见问题】
问题 1：派拓网络 PAN-OS 的 RCE 漏洞拿到 root 权限，是不是黑客不需要账号就能直接攻击？
回答 1：这一批派拓网络 PAN-OS RCE 漏洞分两种情况，部分漏洞需要先拿到合法管理员账号才能触发，还有同类 PAN-OS RCE 漏洞属于无认证攻击，不用账号就能利用，都可以拿到 root 权限执行任意代码，企业不能只依赖账号密码防护。
问题 2：企业在用云版 Cloud NGFW，会不会受这次派拓 PAN-OS RCE 漏洞影响？
回答 2：Cloud NGFW 云防火墙、Prisma Access 不在本次派拓 PAN-OS RCE 漏洞影响范围内，风险主要集中在本地部署 PA 硬件防火墙、VM 虚拟化防火墙和 Panorama 管理设备上，但依然建议持续监控官方后续更新公告。
问题 3：暂时没法升级固件，要怎么降低派拓 PAN-OS RCE 漏洞被利用的概率？
回答 3：优先限制 PAN-OS 管理接口的访问源 IP，禁止公网直达管理页面，收紧管理员账号权限，开启威胁检测签名拦截攻击流量，同时持续审计登录和命令日志，这套临时手段可以显著降低派拓 PAN-OS RCE 漏洞被攻击者拿下 root 权限的风险，但不能替代版本升级修复。
【参考资料】
[2026-10-16]（CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface）Palo Alto Networks 官方安全中心
[2026-09-10]（CVE-2026-0310 PAN-OS: Buffer Overflow Vulnerability via XML Processing）Palo Alto Networks 官方安全中心
[2026-07-09]（CVE-2026-0283 PAN-OS: Authentication Bypass Vulnerability in Large Scale VPN）Palo Alto Networks 官方安全中心
[2026-05-29]（CVE-2026-0263 PAN-OS: Remote Code Execution (RCE) in IKEv2 Processing）Palo Alto Networks 官方安全中心
[2026-05-13]（CVE-2026-0300: Root RCE Actively Exploited in PAN-OS）Cloud Security Alliance
【免责声明】
本文仅针对派拓网络 PAN-OS RCE 漏洞做安全资讯解读，漏洞细节、受影响版本、补丁包以派拓网络官方安全公告为准；文中缓解方案为通用安全建议，不代表适配所有企业网络架构；漏洞处置操作有业务中断风险，建议由持证安全运维人员评估后执行。