Palo Alto Networks ने PAN-OS और Prisma Gateways में गंभीर भेद्यता के लिए तत्काल सुरक्षा पैच जारी किया
TL;DR
Palo Alto Networks ने PAN-OS और Prisma Gateways में गंभीर भेद्यता के लिए तत्काल सुरक्षा पैच जारी किया
यदि आप Palo Alto Networks के उपकरणों का उपयोग कर रहे हैं, तो अपना काम रोकें और अपने लॉग्स की जांच करें। कंपनी ने पुष्टि की है कि एक खतरनाक ऑथेंटिकेशन बायपास खामी—जिसे CVE-2026-0257 के रूप में ट्रैक किया गया है—का वर्तमान में सक्रिय रूप से शोषण किया जा रहा है। यह कोई काल्पनिक "क्या होगा यदि" वाली स्थिति नहीं है; हमलावर सक्रिय रूप से इसका उपयोग सुरक्षा द्वारों को पार करने और कॉर्पोरेट नेटवर्क में अनधिकृत VPN कनेक्शन स्थापित करने के लिए कर रहे हैं।
यह भेद्यता PAN-OS और Prisma Access के भीतर GlobalProtect पोर्टल और गेटवे कॉन्फ़िगरेशन को प्रभावित करती है। प्राथमिक ऑथेंटिकेशन लेयर को बायपास करके, एक रिमोट हमलावर आपके नेटवर्क में ऐसे प्रवेश कर सकता है जैसे कि वह एक वैध, अधिकृत उपयोगकर्ता हो। रिमोट एक्सेस के लिए इन प्लेटफ़ॉर्म पर निर्भर रहने वाले किसी भी व्यक्ति के लिए यह सबसे खराब स्थिति है।
इस स्थिति की गंभीरता को कम करके नहीं आंका जा सकता। हालांकि शुरुआती अनुमानों में CVSS स्कोर 7.8 था, लेकिन गहन विश्लेषण ने कई वातावरणों में इस संख्या को 9.1 के गंभीर स्तर तक पहुंचा दिया है। Cyber Security Agency of Singapore (CSA) और अन्य वैश्विक निगरानी संस्थाओं ने चेतावनी जारी की है, और 29 मई, 2026 तक Palo Alto द्वारा सक्रिय शोषण की पुष्टि के साथ, पैचिंग की समय सीमा प्रभावी रूप से समाप्त हो चुकी है।
उल्लंघन की कार्यप्रणाली
यह वास्तव में कैसे होता है? यह केवल एक बटन दबाने की बात नहीं है। RedLegg के तकनीकी विश्लेषण के अनुसार, इस शोषण के लिए कॉन्फ़िगरेशन सेटिंग्स के एक विशिष्ट "परफेक्ट स्टॉर्म" की आवश्यकता होती है।
किसी वातावरण के असुरक्षित होने के लिए, तीन चीजों का होना आवश्यक है:
- GlobalProtect पोर्टल या गेटवे सक्षम होना चाहिए।
- "Authentication Override" कुकीज़ सक्रिय होनी चाहिए।
- सिस्टम को एक विशिष्ट, असुरक्षित प्रमाणपत्र (certificate) कॉन्फ़िगरेशन का उपयोग करना चाहिए।
जब ये स्थितियां मिलती हैं, तो एक हमलावर ऑथेंटिकेशन हैंडशेक में हेरफेर कर सकता है। चूंकि वे प्रभावी रूप से उन ओवरराइड कुकीज़ द्वारा स्थापित विश्वास को हाईजैक कर रहे होते हैं, इसलिए सिस्टम उन्हें सीधे अंदर आने देता है। उन्हें आपके पासवर्ड की आवश्यकता नहीं है। उन्हें आपके MFA टोकन की आवश्यकता नहीं है। उन्हें बस इस बायपास का शोषण करने की आवश्यकता है।
कौन खतरे में है?
इसका दायरा विशिष्ट है, इसलिए यदि आप प्रभावित संस्करणों का उपयोग नहीं कर रहे हैं तो घबराएं नहीं—लेकिन पुष्टि जरूर करें। Panorama और Cloud NGFW इंस्टेंस वर्तमान में सुरक्षित हैं। हालांकि, यदि आप नीचे सूचीबद्ध संस्करणों का उपयोग कर रहे हैं, तो आपको तुरंत कार्रवाई करने की आवश्यकता है।
| उत्पाद | प्रभावित संस्करण |
|---|---|
| PAN-OS | 10.2, 11.1, 11.2, 12.1 |
| Prisma Access | 10.2, 11.2 |
National Vulnerability Database (NVD) ने आधिकारिक तौर पर इस मुद्दे को सूचीबद्ध किया है। इससे भी महत्वपूर्ण बात यह है कि इसे 'Known Exploited Vulnerabilities' (KEV) कैटलॉग में जोड़ा गया है। यह उद्योग का संक्षिप्त नाम है जिसका अर्थ है "स्वचालित स्कैनर पहले से ही इसकी तलाश कर रहे हैं।" यदि आपने पैच नहीं किया है, तो आप संभवतः पहले से ही किसी की हिट लिस्ट में हैं।
अपने इंफ्रास्ट्रक्चर को सुरक्षित कैसे करें
Palo Alto Networks ने पहले ही पैच जारी कर दिए हैं। यदि आप अपडेट कर सकते हैं, तो अभी करें। सप्ताहांत का इंतजार न करें। यदि आप ऐसी स्थिति में हैं जहां आप तुरंत रीबूट या पैच नहीं कर सकते हैं, तो आपको इस छेद को बंद करने के लिए "स्टॉप-गैप" उपाय लागू करने होंगे।
- ओवरराइड को बंद करें: यदि आपका व्यवसाय मॉडल अनुमति देता है, तो अपनी GlobalProtect सेटिंग्स में "Authentication Override" को अक्षम करें। हमलावर के प्राथमिक वेक्टर को काटने का यह सबसे प्रभावी तरीका है।
- अपने प्रमाणपत्रों का ऑडिट करें: अपने प्रमाणपत्र कॉन्फ़िगरेशन की जांच करें और Palo Alto द्वारा जारी एडवाइजरी से उनकी तुलना करें। यदि आप असुरक्षित सेटअप का उपयोग कर रहे हैं, तो इसे बदलें।
- लॉग्स पर नज़र रखें: अपने VPN लॉग्स की निगरानी बढ़ाएं। आप अजीब ऑथेंटिकेशन पैटर्न, उन जगहों से लॉगिन जहां आपके कर्मचारी नहीं रहते हैं, या ऐसे कनेक्शन जो सामान्य नहीं लगते हैं, उनकी तलाश कर रहे हैं।
- अपनी सुरक्षा की परतें बढ़ाएं: चूंकि यह प्राथमिक ऑथेंटिकेशन को बायपास करता है, इसलिए आपका परिधि (perimeter) प्रभावी रूप से खुला है। यदि आपके पास कुकी-आधारित ओवरराइड से जुड़ा MFA है, तो यह यहां बेकार हो सकता है। गैर-कुकी-आधारित सत्यापन लागू करने के तरीके खोजें।
इस भेद्यता की वास्तविकता यह है कि मानक परिधि सुरक्षा संभवतः घुसपैठ को नहीं पकड़ पाएगी क्योंकि सिस्टम के लिए, हमलावर एक वैध उपयोगकर्ता जैसा दिखता है। आप ब्रूट-फोर्स हमले की तलाश नहीं कर रहे हैं; आप मशीन में एक भूत की तलाश कर रहे हैं।
आधिकारिक Palo Alto Networks सुरक्षा पोर्टल से जुड़े रहें। यह स्थिति परिवर्तनशील है, और जैसे-जैसे अधिक शोधकर्ता इस शोषण की जांच करेंगे, हम इसके प्रभाव का पता लगाने और उसे कम करने के बारे में और अधिक जान पाएंगे। अभी के लिए, मान लें कि खतरा वास्तविक है, मान लें कि आपके वातावरण को स्कैन किया जा रहा है, और तदनुसार अपने सुधार को प्राथमिकता दें। सावधानी का समय बीत चुका है; अब कार्रवाई का समय है।
