Choisir une cible de mise à niveau PAN-OS : préconisation, dernière version, correctifs et compatibilité

Partir de ce que vous exécutez

Une cible de mise à niveau se choisit pour un équipement, pas dans l’abstrait. Notez la version exacte affichée par l’équipement, suffixe de hotfix compris ; son modèle ; son Panorama et la version de celui-ci ; s’il fonctionne en paire haute disponibilité ; la version de contenu installée ; et les plugins en service (VM-Series, plugins Panorama). Chaque contrainte ci-dessous se lit face à ces faits.

Listez ensuite les vulnérabilités qui concernent cet équipement : les bulletins dont les versions affectées incluent la version exécutée, avec la première version corrigée que chacun nomme pour votre ligne. Patcharo calcule cette liste à partir de la version enregistrée et conserve la formulation et les liens des bulletins ; sans Patcharo, le même travail se fait à la main depuis les bulletins de l’éditeur.

Trois candidates, trois questions différentes

Les contraintes qui tranchent

1. Plateforme : la matrice de compatibilité liste les versions prises en charge par modèle. Une version absente de la ligne de votre modèle n’est pas candidate, quoi qu’elle corrige par ailleurs.
2. Panorama : le guide de mise à niveau exige que Panorama exécute une version au moins aussi récente que les pare-feu qu’il gère. Une cible plus récente que Panorama impose de mettre Panorama à niveau d’abord.
3. Chemin de mise à niveau : changer de ligne de version passe par la version de base de chaque ligne intermédiaire, comme le décrit le guide de mise à niveau ; le nombre d’étapes, et de fenêtres de maintenance, croît avec la distance.
4. Version de contenu : chaque version PAN-OS exige une version de contenu minimale, indiquée dans ses notes de version. Mettez le contenu à jour avant le logiciel.
5. Haute disponibilité : le guide de mise à niveau donne l’ordre et les vérifications pour une paire HA ; une version prise en charge par les deux membres est requise.
6. Plugins et intégrations : les plugins VM-Series et Panorama ont leurs propres lignes de compatibilité dans la matrice.
7. Changements de comportement par défaut : les notes de version de chaque ligne les listent ; une cible qui change un défaut dont vous dépendez appelle une revue de configuration, pas seulement une installation.
8. Cycle de vie : une ligne proche de sa fin de vie n’est une cible que pour peu de temps ; le récapitulatif de fin de vie donne les dates.

Une méthode en six étapes

1. Listez les bulletins qui concernent l’équipement et la première version corrigée que chacun nomme pour votre ligne.
2. Prenez la plus récente de ces premières versions corrigées comme plancher : aucune candidate en dessous ne ferme tout ce qui vous concerne.
3. Lisez la préconisation de l’éditeur dans son portail si vous y avez accès ; préférez une version préconisée égale ou supérieure au plancher.
4. Vérifiez la candidate face à la matrice de compatibilité (modèle, Panorama, plugins) et à l’exigence de version de contenu.
5. Lisez la page Known Issues de la candidate et les changements de comportement par défaut de la ligne ; écartez une candidate dont les problèmes connus touchent votre déploiement.
6. Planifiez le chemin depuis la version actuelle (versions de base intermédiaires, Panorama d’abord, ordre HA), puis vérifiez après la mise à niveau que l’équipement affiche la version cible, suffixe compris.

Après la mise à niveau

Enregistrez la version affichée par l’équipement après la mise à niveau, avec son suffixe, et laissez le rapprochement s’exécuter à nouveau : les vulnérabilités qui nommaient une version corrigée égale ou inférieure à la nouvelle version quittent la liste, les autres restent. Une entrée restante est soit une vulnérabilité sans correctif dans votre ligne pour l’instant, soit le signe que la version installée n’est pas celle prévue.

Erreurs fréquentes

• Choisir la version la plus récente parce qu’elle est la plus récente, sans lire ses problèmes connus ni la ligne de compatibilité du modèle.
• Mettre les pare-feu à niveau avant Panorama, ou sans la version de contenu minimale.
• S’arrêter à une version recommandée antérieure à la première version corrigée d’un bulletin qui concerne l’équipement.
• Planifier un changement de ligne en une seule étape.

À vérifier avant d’agir

• Le plancher : la plus récente des premières versions corrigées parmi les bulletins qui concernent l’équipement, suffixe compris.
• Les lignes de la matrice de compatibilité du modèle, de Panorama et des plugins pour la candidate.
• La version de contenu minimale de la candidate et les changements de comportement par défaut de la ligne.
• Le chemin de mise à niveau depuis la version actuelle et la procédure HA du guide de mise à niveau.
• Les dates de fin de vie de la ligne cible.

Sources

Les documents officiels sur lesquels ce guide repose, relus face au texte le 19 oct. 2026. Rien n’en est recopié : lisez-les pour la formulation qui fait foi.

• PAN-OS Upgrade Guide

  Palo Alto Networks TechDocs · Upgrade paths, the Panorama-before-firewalls rule, the content release requirement, the HA procedure.

• Compatibility Matrix

  Palo Alto Networks TechDocs · Supported releases per model, Panorama and plugin compatibility.

• PAN-OS 11.1 Release Notes

  Palo Alto Networks TechDocs · Known and addressed issues, changes to default behaviour, associated content versions.

• End-of-Life Summary

  Palo Alto Networks · How long each release line is maintained.

• Palo Alto Networks Security Advisories

  Palo Alto Networks PSIRT · The first fixed releases per line, used to test a candidate against the vulnerabilities that concern you.