Palo Alto XML 漏洞 CVE-2026-0310：實體與虛擬防火牆風險有別

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-09-14

Palo Alto Networks 已針對防火牆作業系統 PAN-OS 的 XML 處理漏洞 CVE-2026-0310 發布安全更新。iThome 報道指出，問題屬 RAM 緩衝區溢位，未經身分驗證的攻擊者若能接觸管理網頁或資料轉發（dataplane）介面，便可能觸發漏洞。受影響範圍不只本地部署的 PAN-OS，亦包括 Prisma Access，以及部署在 AWS 或 Azure 的 Cloud NGFW；對持有混合網絡架構的機構而言，修補工作不能只集中在機房內的硬件。

最重要的限制在於，漏洞後果取決於防火牆的部署形態和存取條件。iThome 報道引述 Palo Alto Networks 指出，PA 系列實體防火牆一旦遭成功利用，攻擊者可取得 root 權限並執行任意程式碼；VM 系列虛擬防火牆的已知影響則是造成阻斷服務。這代表同一個 CVE 雖然需要緊急處理，但資安團隊不能只看單一嚴重性分數，還要把資產類型、介面可達性及業務中斷成本一併放進排序。

受影響產品橫跨本地與雲端

iThome 報道列出的受影響版本，包括 PAN-OS 10.2 至 12.2、Prisma Access 10.2 至 12.1，以及位於 AWS 或 Azure 的 Cloud NGFW。報道沒有列出各產品的個別已修補版本，因此管理人員應以供應商安全公告及現有支援渠道確認可升級目標，避免僅憑大版本範圍判定已安全。尤其是跨多個租戶、帳戶或雲端環境管理防火牆的團隊，盤點若只依賴中央管理平台的概覽，可能遺漏長期未更新、用途較少或由外判團隊維護的實例。

漏洞的 CVSS v4.0 分數為 9.2；加入威脅指標後的 CVSS-BT 為 7.2。iThome 報道指 Palo Alto Networks 將其列為高風險，同時要求客戶按「Urgency Highest」的最高優先次序處理。兩個分數與供應商處置級別看似有落差，其實反映分數只是風險訊號之一：實際暴露面、可否未認證存取，以及設備被攻陷後的影響，才決定企業要在多快時間內採取行動。現階段資料只說明漏洞可能被利用，並沒有資料支持它已遭大規模攻擊，部署方不宜自行延伸為已出現廣泛入侵。

為何實體設備應放在最前

PA 系列實體設備面對的風險較為直接。若攻擊者能以漏洞取得 root 權限，問題可由單純的防火牆服務故障，擴大至設備控制權被奪取。防火牆通常位處網絡分段、流量檢查及遠端連線的重要位置，因此從風險管理角度推論，這類設備應優先核實是否運行受影響版本，以及管理網頁或 dataplane 介面有否暴露於不必要的來源。這是根據來源所述影響作出的優先次序分析，並非表示所有實體設備均已被入侵。

VM 系列的已知後果是 DoS，嚴重性不能因而被低估。對依賴虛擬防火牆處理內部區隔、雲端工作負載連線或分支流量的機構，服務中斷可令既有的備援設計承受壓力。iThome 報道指出，VM 系列的風險級別可降為中度；這應理解為在特定產品形態下的影響差異，而非更新可以無限期押後。團隊仍要驗證高可用性切換、變更窗口和回復程序，否則修補期間本身也可能成為營運風險。

管理介面限制是減風險，不是替代修補

iThome 報道指出，限制外部存取並要求使用者驗證的 Prisma Access 與 Cloud NGFW，風險級別會降為中度；收緊管理介面的存取亦可降低漏洞影響。這項建議的價值在於縮小攻擊者首先接觸漏洞的機會，例如檢視管理介面是否只容許受信任管理網段、既定跳板主機或需要身分驗證的連線。不過，這些控制措施是降低暴露面，並不會移除 XML 處理缺陷；在受影響版本仍然運行時，存取限制不應被當成取代更新的長期方案。

對使用 Prisma Access 或 AWS、Azure Cloud NGFW 的團隊而言，雲端託管不等於可以把修補責任完全交出。來源已把相關產品列入影響範圍，故機構應清楚分辨由供應商管理的平台層，與自己可設定的版本、管理存取、帳戶權限及變更流程。若由託管服務商代為營運，也應要求對方說明受影響資產清單、修補安排、管理端點限制及服務中斷應變，而不是只索取一份籠統的「已檢查」確認。

建議以可驗證的清單推進

實務上，資安與網絡團隊可先把行動分成三條線：確認 PAN-OS、Prisma Access 和 Cloud NGFW 的實際版本；按實體 PA 系列、VM 系列及雲端服務分組評估業務影響；再依供應商提供的修補資料安排更新。同步檢查管理網頁與 dataplane 相關介面的可達性，移除不必要的外部來源，並保留變更前後的設定、版本及告警紀錄，會有助日後追蹤。這套做法的重點是讓「最高優先」變成可稽核的工作項目，而非只發出內部通告。

下一步值得觀察的是，企業在完成首輪更新後，能否把雲端與本地防火牆納入同一資產及存取控制盤點。CVE-2026-0310 所呈現的差異很清楚：產品名稱相近，不代表攻擊後果、暴露方式和修補責任相同。對依賴 Palo Alto 網絡安全產品的機構，特別是同時使用實體設備、虛擬防火牆與雲端服務者，先核實版本和管理介面限制，再按風險安排更新，會比單看 CVSS 分數更能降低實際風險。