CVE-2026-0280 PAN-OS: IPv6 Firewall Policy Bypass (Severity: LOW)

概要
CVE-2026-0280は、Palo Alto Networks PAN-OSのデータプレーンにおけるIPv6パケット処理の脆弱性です。認証されていない攻撃者がファイアウォールのセキュリティポリシーを回避し、本来ブロックされるべき通信が保護対象サービスへ到達する可能性があります。深刻度はLOW(CVSS-BT 1.7、CVSS-B 6.3)、推奨緊急度はMODERATE、弱点はCWE-131です。公開日は2026-07-08です。

影響対象
PAN-OS 12.1、11.2、11.1、10.2の各修正版未満と、Prisma Access 11.2.0以上11.2.7-h18未満、10.2.0以上10.2.10-h39未満が対象です。影響を受けるのは、1つ以上のインターフェースでIPv6を有効にしたPAN-OSファイアウォールです。Cloud NGFWとPanoramaは影響を受けません。

修正版
12.1は12.1.4-h8、12.1.7-h2、12.1.8以降です。11.2は11.2.4-h20、11.2.7-h18、11.2.10-h11、11.2.13以降です。11.1は11.1.4-h35、11.1.6-h35、11.1.7-h8、11.1.10-h30、11.1.13-h9、11.1.16以降です。10.2は10.2.7-h36、10.2.10-h39、10.2.13-h23、10.2.16-h9、10.2.18-h8以降です。サポート外の旧版は、サポート対象の修正版へ更新する必要があります。Prisma Accessは次回の定期メンテナンスで更新され、それより早い更新を希望する場合はサポートへの連絡が必要です。

回避策
完全な対処は修正版への更新のみです。運用上可能であれば、既定の「Non SYN TCP Reject」設定を有効にすることでリスクを緩和できます。

不明点
脆弱性を引き起こす具体的なパケット条件などの技術的詳細は未確認です。ベンダーは悪用を認識していないとしており、実際の悪用事例や公開された実証コードの有無は未確認です。