一隻戴著戒指的手拿著綠色光纖接頭對準光纖配線架，周圍是多條黃色光纖跳線與排列整齊的綠色接頭 — 示意圖（資料照片），美國田納西州一家電信合作社的資料中心，技術人員安插光纖跳線，2018 年拍攝；僅示意一般網路配線作業，畫面中沒有可辨識為 Palo Alto Networks 的設備，與本案無關。美國農業部（USDA）攝，公有領域，Wikimedia Commons。

資安Palo Alto NetworksPAN-OSKEV

PAN-OS 管理介面漏洞 CVE-2026-0322 已遭利用、列入 KEV：11.2.14、11.2.15 要升的 11.2.16 公告寫預計 10 月 15 日推出；兩份官方 CVE 資料的版本範圍都把部分修補版算成受影響，廠商那份另漏掉 207 個受影響版本

趨勢新聞2026 年 10 月 15 日

Palo Alto Networks 在 2026 年 10 月 14 日 16:00（世界協調時間，台灣時間 10 月 15 日凌晨 0 點）發布安全公告 CVE-2026-0322：防火牆作業系統 PAN-OS 的管理介面有程式碼注入漏洞，能經網路連到管理介面、並已通過驗證的攻擊者，可以在防火牆上以 root 權限執行任意程式碼。受影響的是 PA 系列與 VM 系列防火牆，以及 Panorama（虛擬版與 M 系列）；Cloud NGFW 與 Prisma Access 不受影響。公告的「利用狀態」寫著，已觀察到「非常有限」的、針對管理介面的利用。美國網路安全暨基礎設施安全局（CISA）把它列入已知遭利用漏洞目錄（KEV），列入日 10 月 14 日，條目列的處置期限是 10 月 17 日。

這篇要回答三件事：攻擊要什麼條件、哪些版本當下還沒有修補版可升，以及為什麼判斷自家設備是否受影響，要看修補表而不是版本範圍資料。本站讀了公告網頁，並解析兩份官方 CVE JSON：公告頁提供的那份，以及 CVE 計畫網站 cve.org 上的記錄。

要高權限登入才能打，管理介面對網際網路開放時風險最高

公告用 CVSS 4.0 評分，給了兩個情境：管理介面可以從網際網路連到時 8.6 分，只允許一台跳板機連到管理介面時 8.5 分，兩者都列為「高」，建議急迫性都是最高一級。兩個分數都標示需要高權限（PR:H），也就是攻擊者得先取得管理介面的高權限登入，不是任何人連得到就能打。公告說，不需要特殊設定就會受影響，風險在管理介面對網際網路外部 IP 開放時最高；照官方最佳實務，把存取限縮到受信任的內部 IP，可以把風險降到最低。

公告寫「沒有已知的暫時解法」。有威脅防護（Threat Prevention）訂閱的用戶，可以啟用威脅 ID 510046 與 510047（應用程式與威脅內容版本 9159-10287 起），但公告寫明只是「有限的防護」，而且要先把管理流量改走資料平面埠、更換入站管理流量的憑證、對管理介面流量做 SSL 解密並開啟威脅防護，條件不少。公告標示這個漏洞是內部發現。

11.2.14、11.2.15 的修補版，公告寫預計 10 月 15 日推出

公告頁 CVE JSON 的受影響版本清單（x_affectedList）列了 466 個版本，本站按版本線數：10.2 有 238 個、11.1 有 128 個、11.2 有 73 個、12.1 有 25 個、12.2 有 2 個。修補表列出的五條版本線都受影響；已停止支援的舊版，公告只寫要升到有修補的支援版本。修補表把 12.1、11.2、11.1、10.2 四條線再切成幾段，多數區段列有對應的熱修補版（例如 11.1.4-h37、10.2.18-h12），也列出該線較新的修補版作為另一個升級目標；12.2 線只有一段，要升到 12.2.4 或更新版本。選升級目標時，要照各段「建議解法」欄。

要注意的是 11.2 線。修補表寫明，11.2.14 到 11.2.15 要升到 11.2.16 或更新版本，修補表沒有為這一段列出熱修補版選項；同一頁的產品狀態表在 11.2.16 旁註記「ETA: 10/15」，也就是預計 10 月 15 日推出。本站的讀法是，公告發布、CISA 列入 KEV 時，這一段的建議修補版還標著「預計推出」，單憑公告無法確認實際何時能下載；拿到之前，能做的是收緊管理介面的存取，有訂閱的再評估上面那組有限的威脅防護。

兩份官方 CVE 資料的版本範圍都不準

弱點掃描工具與資產管理系統可以用 CPE（通用平台列舉，用來標記產品與版本的字串）的版本範圍，比對設備是否受影響。這次的兩份官方 CVE JSON 都有這段資料（cpeApplicability），寫法卻不一樣。

公告頁那份用 20 條「從某版到某版之前」的範圍。本站 10 月 15 日中午取得，逐一比對同一份檔案的受影響版本清單，466 個版本中有 207 個不落在任何一條範圍內：10.2 線 150 個、11.1 線 49 個、12.1 線 8 個。例如清單列出的 11.1.0 到 11.1.3 系列共 41 個版本，修補表也寫 11.1.0 到 11.1.4-h* 要升到 11.1.4-h37，或 11.1.16-h3 以上，但 11.1 線的範圍最早從 11.1.4 開始。同一份資料也有過寬的一條：11.2 線「11.2.0 到 11.2.16 之前」這條範圍，把修補表列的 11.2.4-h22、11.2.7-h21、11.2.10-h15、11.2.13-h3 四個熱修補版也包進去。cve.org 的記錄在 10 月 15 日 03:57（世界協調時間）更新過，它的 PAN-OS 範圍只有 5 條，每條版本線一條，例如 11.1.0 到 11.1.16-h3 之前。只比較版本上下限，這 5 條涵蓋了全部 466 個受影響版本，但也把修補表上的 15 個熱修補版，例如 11.1.4-h37、10.2.7-h38、12.1.4-h12，都包進「受影響」的範圍。兩份資料的 CPE 字串另有一處不同：廠商那份把 PAN-OS 標為作業系統（o），cve.org 那份標為應用程式（a）。美國國家弱點資料庫（NVD）同一時間的狀態是「已接收」，回應中還沒有它自己的 configurations 資料。

照廠商那份資料，部分受影響的機器可能被判為安全；照兩份資料，都有已升到熱修補版的機器可能仍被判為受影響。本站沒有測試任何一套掃描工具，也無法判斷各家採用哪一份資料、這些範圍之後會不會修正；以 10 月 15 日的兩份資料來看，判斷自家設備是否受影響，以公告的修補表為準比較穩當。

今年第三個列入 KEV 的 PAN-OS 漏洞

CISA 10 月 14 日版的 KEV 目錄中，Palo Alto Networks 有 16 筆，13 筆是 PAN-OS，其餘 3 筆是遷移工具 Expedition。2026 年列入的 PAN-OS 漏洞有三筆：5 月 6 日的 CVE-2026-0300（User-ID 驗證入口服務的越界寫入）、5 月 29 日的 CVE-2026-0257（可建立未授權 VPN 連線的驗證繞過，勒索軟體利用欄標「已知」），以及這次的 CVE-2026-0322。這次的條目要求依 CISA 的鑑識初判要求（Forensics Triage Requirements）辦理，forensicTriage 欄為「是」；前兩筆這一欄都是「否」。

原文 Palo Alto Networks 安全公告 CVE-2026-0322（2026-10-14），影響產品、CVSS、利用狀態、暫時防護、修補表與「ETA: 10/15」取自該頁；同頁的 CVE JSON，受影響版本清單與 20 條 CPE 範圍取自該檔；cve.org 的 CVE-2026-0322 記錄（2026-10-15 03:57 UTC 更新版），5 條 CPE 範圍取自該記錄；CISA 已知遭利用漏洞目錄（2026-10-14 發布的 JSON），列入日、期限、鑑識初判欄與 Palo Alto Networks 歷來條目取自該檔。版本計數與兩份 CPE 範圍的比對由本站以程式進行。