Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-565

CVE-2026-0257

PAN-OS GlobalProtect'ta kimlik doğrulama atlatma: yetkisiz VPN bağlantısı

Palo Alto Networks Cloud NGFWPalo Alto Networks PAN-OSPalo Alto Networks Prisma Access

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
167 gün
Kaydı açan
palo_alto
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 29 May 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 1 Haz 2026. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Bu zafiyet, saldırganların şifre bilmeden şirketin VPN'ine girmesine ve iç ağa ulaşmasına izin verebilir. Açığın aktif olarak istismar edildiği bilindiği için risk yüksektir ve yamaların gecikmeden uygulanması gerekir. Yama hemen uygulanamıyorsa üretici tarafından önerilen geçici önlemler devreye alınmalıdır.

ÖzetTürkçe

Palo Alto Networks PAN-OS yazılımındaki GlobalProtect portalı ve ağ geçidinde kimlik doğrulama atlatma zafiyetleri bulunuyor. Saldırgan güvenlik kısıtlamalarını aşarak yetkisiz bir VPN bağlantısı kurabiliyor. Etkilenen sürümler PAN-OS 10.2, 11.1, 11.2 ve 12.1 ile Prisma Access 10.2 ve 11.2'dir. Panorama ve Cloud NGFW bu açıktan etkilenmiyor. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Kimlik doğrulaması yapmayan bir saldırgan ağdan erişerek kurumsal VPN'e yetkisiz bağlanabilir ve iç ağ kaynaklarındaki verilere erişip bunları değiştirebilir.

Kaynaktaki açıklama (İngilizce)

Authentication bypass vulnerabilities in the GlobalProtect portal and gateway of Palo Alto Networks PAN-OS® software allows the attacker to bypass security restrictions and establish an unauthorized VPN connection.

Panorama and Cloud NGFW are not impacted by these issues.

Üreticinin çözüm notu (İngilizce)

Version
Minor Version
Suggested Solution
Cloud NGFW All
No action needed.
PAN-OS 12.1

12.1.5 through 12.1.6
Upgrade to 12.1.7 or later.


12.1.2 through 12.1.4-h*
Upgrade to 12.1.4-h6 or 12.1.7 or later.

PAN-OS 11.2

11.2.11 or later
Upgrade to 11.2.12 or later.


11.2.8 through 11.2.10-h*
Upgrade to 11.2.10-h7 or 11.2.12 or later.


11.2.5 through 11.2.7-h*
Upgrade to 11.2.7-h14 or 11.2.12 or later.


11.2.0 through 11.2.4-h*
Upgrade to 11.2.4-h17 or 11.2.12 or later.

PAN-OS 11.1

11.1.14 or later
Upgrade to 11.1.15 or later.


11.1.11 through 11.1.13-h*
Upgrade to 11.1.13-h5 or 11.1.15 or later.


11.1.8 through 11.1.10-h*
Upgrade to 11.1.10-h25 or 11.1.15 or later.


11.1.7 through 11.1.7-h*
Upgrade to 11.1.7-h6 or 11.1.15 or later.


11.1.5 through 11.1.6-h*
Upgrade to 11.1.6-h32 or 11.1.15 or later.


11.1.0 through 11.1.4-h*
Upgrade to 11.1.4-h33 or 11.1.15 or later.

PAN-OS 10.2

10.2.17 through 10.2.18-h*
Upgrade to 10.2.18 or 10.2.18-h6 or later.


10.2.14 through 10.2.16-h*
Upgrade to 10.2.16-h7 or 10.2.18 or later.


10.2.11 through 10.2.13-h*
Upgrade to 10.2.13-h21 or 10.2.18 or later.


10.2.8 through 10.2.10-h*
Upgrade to 10.2.10-h36 or 10.2.18 or later.


10.2.0 through 10.2.7-h*
Upgrade to 10.2.7-h34 or 10.2.18 or later.
All older
unsupported
PAN-OS versions Upgrade to a supported fixed version.
Prisma Access 10.2

10.2.0 through 10.2.10-h*
Upgrade to 10.2.10-h36 or later.

Prisma Access 11.2

11.2.0 through 11.2.7-h*
Upgrade to 11.2.7-h13 or later.

Note: With this fix, if the firewall is configured to use an authentication override cookie for the GlobalProtect Portal or Gateway, it will regenerate the cookie using a more secure method. Therefore, GP users will need to re-authenticate after a PAN-OS upgrade, even if a valid cookie is present. This is a one time requirement. Once they re-authenticate after the upgrade, the authentication override cookie and its validity will work as they do today.

Üreticinin geçici önlemi (İngilizce)

Customers can mitigate the risk of this issue by taking any of the following actions:

* Use a dedicated certificate for Authentication Override cookies: Generate a new certificate exclusively for authentication override cookies and store it securely. Do not reuse the portal or gateway certificate, and do not share this certificate with other features or users.
* Disable Authentication Override: Uncheck the Authentication Override options (for generating and accepting cookies) in the GlobalProtect portal and gateway configuration.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Kullandığınız PAN-OS sürümünü üreticinin tablosuyla karşılaştırarak düzeltilmiş sürüme yükseltin: 12.1 için 12.1.7 veya üzeri (12.1.2–12.1.4-h* için 12.1.4-h6 da olur); 11.2 için 11.2.12 veya üzeri; 11.1 için 11.1.15 veya üzeri; 10.2 için 10.2.18 veya üzeri. Alt sürümlere özel hotfix'ler (ör. 11.2.10-h7, 11.1.13-h5, 10.2.16-h7) üretici tablosunda listelenmiştir. Üretici
  2. Prisma Access kullanıyorsanız 10.2 sürümünü 10.2.10-h36 veya üzerine, 11.2 sürümünü 11.2.7-h13 veya üzerine yükseltin. Desteği sona ermiş eski PAN-OS sürümleri için desteklenen ve düzeltilmiş bir sürüme geçin. Üretici
  3. Yükseltmeden sonra kimlik doğrulama geçersiz kılma çerezi kullanılıyorsa çerez daha güvenli bir yöntemle yeniden üretilir; GlobalProtect kullanıcıları bir kez yeniden kimlik doğrulaması yapmak zorunda kalacaktır. Kullanıcıları bu konuda önceden bilgilendirin. Üretici
  4. Hemen yükseltme yapamıyorsanız geçici önlem uygulayın: kimlik doğrulama geçersiz kılma çerezleri için yalnızca bu amaçla üretilmiş, güvenli saklanan ve başka özelliklerle paylaşılmayan ayrı bir sertifika kullanın. Portal veya ağ geçidi sertifikasını yeniden kullanmayın. Üretici
  5. Alternatif olarak GlobalProtect portalı ve ağ geçidi yapılandırmasında çerez üretme ve kabul etme için Authentication Override seçeneklerinin işaretini kaldırın. Üretici talimatlarına göre önlem uygulayın; önlem mümkün değilse CISA ürünün kullanımının bırakılmasını öneriyor. CISA

Ek önlemler

  • GlobalProtect VPN günlüklerini inceleyin; olağan dışı kaynak adreslerinden veya beklenmeyen kullanıcı hesaplarıyla kurulmuş bağlantıları araştırın. Genel öneri
  • GlobalProtect portalı ve ağ geçidine erişimi mümkünse yalnızca gerekli IP aralıklarına veya ülkelere sınırlayın. Genel öneri
  • VPN üzerinden erişilen iç sistemlerde ağ segmentasyonu ve ek yetkilendirme kontrolleri uygulayarak yetkisiz bir bağlantının etkisini azaltın. Genel öneri
  • Güvenlik duvarı yazılımları için üretici güvenlik bültenlerini düzenli takip edin ve yama süreçlerini hızlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler3 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Palo Alto Networks Cloud NGFW Sürüm belirtilmemiş Etkilenmiyor –
Palo Alto Networks PAN-OS ≥ 12.1.0 –
≥ 11.2.0 –
≥ 11.1.0 –
≥ 10.2.0 –
Palo Alto Networks Prisma Access ≥ 10.2.0, < 10.2.10-h36 10.2.10-h36
≥ 11.2.0, < 11.2.7-h13 11.2.7-h13

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.