Palo Alto GlobalProtect için Zafiyet Duyurdu (CVE-2026-0257)

Palo Alto Networks, PAN-OS işletim sistemi üzerinde çalışan GlobalProtect bileşenini etkileyen kritik bir güvenlik açığının aktif olarak istismar edildiğini duyurdu. CVE-2026-0257 olarak takip edilen bu açık, saldırganların kimlik doğrulama süreçlerini atlayarak yetkisiz VPN bağlantıları kurabilmesine olanak tanıyor.

İlk bakışta “authentication bypass” olarak görülen bu zafiyetin etkisi, aslında klasik bir VPN açığından çok daha büyük. Çünkü saldırgan başarılı olduğunda yalnızca bir web servisine erişmiyor; doğrudan şirket ağına “meşru kullanıcı” gibi dahil olabiliyor.

https://security.paloaltonetworks.com/CVE-2026-0257

CVE-2026-0257 Detayları

CVE-2026-0257, Palo Alto PAN-OS üzerindeki GlobalProtect portal ve gateway bileşenlerinde bulunan bir kimlik doğrulama atlatma (authentication bypass) zafiyetidir.

Açığın temelinde, “authentication override cookie” mekanizmasının belirli senaryolarda yeterli doğrulama yapmaması bulunuyor. Normal şartlarda kullanıcıların VPN erişimi için yeniden kimlik doğrulaması yapması gerekirken, bu yapı bazı oturum çerezlerinin güvenilir kabul edilmesine dayanıyor.

Açığın Aktif Olarak Kullanıldığı Doğrulandı

Palo Alto Unit 42 ve Rapid7 tarafından paylaşılan analizlere göre saldırılar Mayıs 2026 ortasından itibaren gözlemlenmeye başladı.

Şu ana kadar gözlemlenen saldırıların büyük bölümü:

• Yetkisiz VPN oturumu açma,
• Gateway bağlantısı oluşturma,
• Güvenlik kontrollerini atlama

odağında ilerliyor.

Henüz geniş çaplı veri sızıntısı veya ileri seviye lateral movement faaliyetleri doğrulanmış değil. Ancak bu durum riskin düşük olduğu anlamına gelmiyor. Tarihsel olarak VPN cihazı açıkları çoğu zaman ilk erişim noktası olarak kullanılıyor ve sonrasında daha büyük saldırılar geliyor.

Özellikle daha önce yaşanan:

• CVE-2024-3400
• Ivanti Connect Secure olayları
• Fortinet SSL-VPN açıkları

gibi örnekler düşünüldüğünde, edge cihaz zafiyetlerinin fidye yazılımı operasyonlarında sıkça kullanıldığı biliniyor.

Etkilenen Sistemler

Versions	Affected	Unaffected
Cloud NGFW	None	All
PAN-OS 12.1	< 12.1.4-h6 < 12.1.7	>= 12.1.4-h6 >= 12.1.7
PAN-OS 11.2	< 11.2.4-h17 < 11.2.7-h14 < 11.2.10-h7 < 11.2.12	>= 11.2.4-h17 >= 11.2.7-h14 >= 11.2.10-h7 >= 11.2.12
PAN-OS 11.1	< 11.1.4-h33 < 11.1.6-h32 < 11.1.7-h6 < 11.1.10-h25 < 11.1.13-h5 < 11.1.15	>= 11.1.4-h33 >= 11.1.6-h32 >= 11.1.7-h6 >= 11.1.10-h25 >= 11.1.13-h5 >= 11.1.15
PAN-OS 10.2	< 10.2.7-h34 < 10.2.10-h36 < 10.2.13-h21 < 10.2.16-h7 < 10.2.18-h6	>= 10.2.7-h34 >= 10.2.10-h36 >= 10.2.13-h21 >= 10.2.16-h7 >= 10.2.18-h6
Prisma Access 11.2.0	< 11.2.7-h13*	>= 11.2.7-h13*
Prisma Access 10.2.0	< 10.2.10-h36*	>= 10.2.10-h36*

Ancak her sistem otomatik olarak savunmasız değil.

Riskin oluşması için:

• GlobalProtect portal/gateway aktif olmalı,
• Authentication override cookie özelliği açık olmalı,
• Belirli sertifika yapılandırmaları kullanılmalı.

Bu nedenle bazı kurumlar aynı sürümü kullansa bile etkilenmeyebilir.

Önerilen Aksiyonlar

1. Acil Patch Yönetimi

Palo Alto tarafından yayınlanan güvenli sürümlere geçiş yapılmalı.

2. GlobalProtect Log Analizi

Özellikle:

• Anormal gateway bağlantıları,
• Boş domain bilgileri,
• Beklenmeyen istemci fingerprint’leri,
• Şüpheli IP erişimleri

incelenmeli.

3. IoC Taraması

Unit 42 tarafından yayınlanan indicator’lar SIEM ve EDR sistemlerinde aranmalı.

4. İnternet’e Açık VPN Yüzeyinin Azaltılması

Mümkünse:

• Geo restriction,
• IP allow list,
• ZTNA yaklaşımı,
• Ek erişim katmanları

uygulanmalı.

5. Sertifika Yapılandırmalarının Gözden Geçirilmesi

Authentication override cookie yapısında kullanılan sertifikalar kontrol edilmeli.