Alessandro Iannacone
Published on

Palo Alto PAN-OS: avviso ACN e lezioni pratiche su isolamento rete e servizi non esposti

Authors
  • avatar
    Name
    Alessandro Iannacone
    Twitter

Il 12 febbraio 2026 ACN/CSIRT-ITA ha pubblicato un alert su vulnerabilita in PAN-OS. La sintesi operativa e semplice: anche quando una vulnerabilita non e "critica", un firewall esposto male puo diventare rapidamente un problema di disponibilita o controllo.

In questo caso, la CVE principale segnalata (CVE-2026-0229) riguarda la funzione Advanced DNS Security (ADNS) e puo causare riavvii del dispositivo fino alla maintenance mode se sfruttata ripetutamente.

Cosa fare subito

  1. Verifica versione PAN-OS e confronto con versioni corrette.
  2. Pianifica patch prioritarie sulle release vulnerabili.
  3. Controlla se ADNS e attiva dove non necessaria.
  4. Riduci immediatamente l esposizione delle interfacce di gestione.

Versioni impattate riportate nei bollettini:

  • CVE-2026-0229 (DoS ADNS): PAN-OS 12.1 < 12.1.4 e 11.2 < 11.2.10
  • CVE-2026-0228 (validazione certificato TSA): PAN-OS 11.2 < 11.2.8, 11.1 < 11.1.11, 10.2 < 10.2.17

Perche isolamento rete e fondamentale

Il firewall non deve essere trattato come un host "normale" raggiungibile da chiunque. Deve vivere in una rete di management separata, accessibile solo da sorgenti autorizzate.

In pratica:

  • rete management dedicata (VLAN/VRF dedicata)
  • accesso admin solo da jump host/bastion
  • MFA e allowlist IP stretta
  • blocco totale da Internet su GUI/API/SSH del pannello
  • logging centralizzato verso SIEM/syslog

L obiettivo e evitare che una singola dimenticanza di regola renda pubblico il pannello.

Mai esporre servizi di gestione

Regola base: se una porta di management e raggiungibile da Internet, la postura e gia degradata.

Da verificare sempre:

  • HTTPS management
  • SSH management
  • API admin
  • servizi legacy o di troubleshooting temporanei

Se serve accesso remoto, usa VPN dedicata o bastion con policy "deny by default", non pubblicazione diretta.

Automazione: controlli anti-dimenticanza firewall

La parte piu utile e automatizzare il controllo delle esposizioni. Non basta un audit manuale una volta al mese.

Checklist di automazione minima:

  1. Scan esterno schedulato (giornaliero) sugli IP pubblici aziendali per porte di management note.
  2. Query API del firewall per regole "any-any" o aperture temporanee oltre SLA.
  3. Alert immediato su nuove regole inbound verso subnet/pannelli di management.
  4. Job di compliance che fallisce se trova eccezioni non approvate.
  5. Report settimanale con delta delle policy rispetto alla baseline.

Esempio pratico di controllo semplice:

# Esempio: verifica che le porte tipiche di management non siano esposte da Internet
nmap -Pn -p 22,443,4443,8443 <IP_PUBBLICO_FIREWALL>

Questo check va eseguito da un punto esterno alla rete aziendale e integrato in un job schedulato (CI/CD security o cron su host di monitoraggio).

Conclusione

L alert ACN del 12 febbraio 2026 e un promemoria concreto: la patch e necessaria, ma da sola non basta.

La riduzione reale del rischio arriva da tre decisioni architetturali:

  • segmentare la rete di management
  • non esporre mai i servizi di amministrazione
  • automatizzare i controlli per intercettare aperture firewall accidentali

Se vuoi, nel prossimo articolo posso proporti una baseline tecnica "pronta all uso" per PMI con policy minime, frequenze di check e soglie alert.

Fonti

Discuss on Twitter • View on GitHub