Przejdź do treści
Luki i patche

Palo Alto Networks ostrzega przed atakami na GlobalProtect. Administratorzy powinni pilnie aktualizować

Firma Palo Alto Networks potwierdziła aktywne wykorzystywanie luki CVE-2026-0257 w systemie PAN-OS. Atakujący mogą ominąć autoryzację i uzyskać dostęp do sieci wewnętrznej przez bramę VPN GlobalProtect. Administratorzy powinni niezwłocznie zainstalować dostępne łatki.

3 min read
An abstract illustration of a glowing, translucent shield with a cracked edge, placed in front of a dark network of interconnected server racks. In the background, a faint figure of a hooded silhouette holds a forged key, while blue data streams flow around a broken chain link.

Firma Palo Alto Networks potwierdziła, że zagrożenie związane z podatnością CVE-2026-0257 w systemie PAN-OS jest już wykorzystywane w realnych atakach. Luka dotyczy portalu i bramy GlobalProtect VPN i umożliwia atakującemu ominięcie mechanizmów uwierzytelniania. Administratorzy, którzy jeszcze nie zaaplikowali poprawek, powinni zrobić to niezwłocznie.

Czego dotyczy luka CVE-2026-0257?

Podatność otrzymała ocenę High w skali CVSS (7.8) i dotyczy zapór sieciowych Palo Alto Networks z włączonym portalem lub bramą GlobalProtect, przy spełnieniu określonych warunków konfiguracji. Jak wynika z analizy firmy Rapid7, problem polega na nieprawidłowej weryfikacji ciasteczek autoryzacyjnych typu authentication override. Urządzenie VPN odszyfrowuje takie ciasteczka przy użyciu skonfigurowanego klucza prywatnego, a następnie ufa odszyfrowanej treści bez przeprowadzania weryfikacji podpisu. Jeśli ten sam certyfikat jest używany zarówno dla połączeń HTTPS, jak i dla ciasteczek autoryzacyjnych, osoba atakująca może pozyskać odpowiadający mu klucz publiczny i na jego podstawie sfałszować prawidłowo wyglądające ciasteczko.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Palo Alto Networks udostępniło łatki 13 maja 2026 roku. W komunikacie firma początkowo nadała luce średni poziom ważności, jednak po otrzymaniu informacji o atakach podniosła go do wysokiego. Producent zaznaczył, że exploit działa na urządzeniach, w których włączono funkcję authentication override cookies przy określonej konfiguracji certyfikatów.

Jak wyglądały ataki?

Jak donosi BleepingComputer, pierwsze próby wykorzystania podatności zaobserwowano 17 maja, zaledwie cztery dni po publikacji poprawek. Badacze z Rapid7 zidentyfikowali dwie fale ataków. Pierwsza rozpoczęła się 18 maja z infrastruktury należącej do dostawcy chmury Vultr. Druga fala miała miejsce 21 maja i pochodziła z hostingowej sieci Dromatics Systems.

W obu przypadkach atakujący używali sfałszowanych ciasteczek autoryzacyjnych, które celowały w lokalne konto administratora. Rapid7 zanotował, że w ośmiu na dziesięć przypadków zapora sieciowa zaakceptowała ciasteczka, ale nie doszło do nawiązania pełnej sesji VPN. W pozostałych przypadkach intruzi uzyskali dostęp do sieci wewnętrznej. Co istotne, badacze nie zaobserwowali prób lateralnego przemieszczania się po sieci.

Reakcja producenta i instytucji bezpieczeństwa

30 maja 2026 roku amerykańska agencja CISA dodała CVE-2026-0257 do swojego katalogu znanych, wykorzystywanych podatności (KEV) i nakazała agencjom federalnym załatanie luki do 1 czerwca. Palo Alto Networks w aktualizacji swojego biuletynu ostrzegło: „Palo Alto Networks otrzymało informacje o ograniczonych próbach wykorzystania luki na niezałatanych urządzeniach PAN-OS bez zastosowanych zabezpieczeń obejściowych”.

Dla organizacji korzystających z PAN-OS w wersjach 12.1, 11.2, 11.1 oraz 10.2 producent udostępnił odpowiednie aktualizacje oprogramowania. Łatki otrzymało także rozwiązanie Prisma Access w wersjach 11.2.0 i 10.2.0.

Co powinni zrobić administratorzy?

Najważniejszym i najskuteczniejszym działaniem jest niezwłoczne zainstalowanie poprawek wydanych przez Palo Alto Networks. Dla administratorów, którzy z różnych przyczyn nie mogą od razu zaktualizować systemu, firma oferuje rozwiązania tymczasowe. Można wyłączyć funkcję authentication override cookies lub – jeśli musi pozostać włączona – użyć do niej innego certyfikatu niż ten używany dla połączeń HTTPS. Taka separacja uniemożliwia atakującemu pozyskanie klucza publicznego potrzebnego do sfałszowania ciasteczka.

Rapid7 opublikował skrypt weryfikujący podatność oraz wskaźniki kompromitacji (IoC), które mogą pomóc w poszukiwaniu śladów ataku. Administratorzy powinni skontrolować logi dostępu do GlobalProtect pod kątem nietypowych prób uwierzytelnienia z adresów IP niezwiązanych z organizacją.

Sytuacja pokazuje, jak szybko – zaledwie cztery dni po publikacji poprawek – zagrożenie może przerodzić się w realne ataki. Regularne aktualizacje, monitorowanie komunikatów bezpieczeństwa producentów i stosowanie się do zaleceń firm takich jak CISA pozostają podstawowymi elementami skutecznej ochrony sieci korporacyjnych.

#bezpieczeństwo sieci #CVE-2026-0257 #GlobalProtect #Palo Alto Networks #PAN-OS #VPN
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read