Palo Alto Networks выпускает срочное обновление безопасности для критической уязвимости в PAN-OS и Prisma Gateways
TL;DR
Palo Alto Networks выпускает срочное обновление безопасности для критической уязвимости в PAN-OS и Prisma Gateways
Если вы используете оборудование Palo Alto Networks, отложите все дела и проверьте свои логи. Компания подтвердила, что опасная уязвимость обхода аутентификации, отслеживаемая как CVE-2026-0257, в настоящее время активно эксплуатируется злоумышленниками. Это не теоретический сценарий «что, если»; хакеры активно используют эту брешь, чтобы обходить системы защиты и устанавливать несанкционированные VPN-соединения с корпоративными сетями.
Уязвимость затрагивает конфигурации порталов и шлюзов GlobalProtect в PAN-OS и Prisma Access. Обходя основной уровень аутентификации, удаленный злоумышленник может проникнуть в вашу сеть, выдавая себя за легитимного, авторизованного пользователя. Это худший сценарий для всех, кто полагается на эти платформы для удаленного доступа.
Серьезность ситуации трудно переоценить. Хотя первоначальные оценки ставили оценку CVSS на уровне 7.8, более глубокий анализ повысил этот показатель до критических 9.1 во многих средах. Агентство кибербезопасности Сингапура (CSA) и другие мировые наблюдатели забили тревогу, и, поскольку Palo Alto подтвердила активную эксплуатацию по состоянию на 29 мая 2026 года, время для установки патчей практически истекло.
Механика взлома
Как это происходит на самом деле? Это не просто нажатие одной кнопки. Согласно техническому анализу от RedLegg, для реализации эксплойта требуется «идеальный шторм» определенных настроек конфигурации.
Чтобы среда была уязвимой, обычно должны выполняться три условия:
- Должен быть включен портал или шлюз GlobalProtect.
- Должны быть активны файлы cookie «Authentication Override» (обход аутентификации).
- Система должна использовать специфическую уязвимую конфигурацию сертификатов.
Когда эти условия совпадают, злоумышленник может манипулировать процессом рукопожатия аутентификации. Поскольку они фактически перехватывают доверие, установленное этими файлами cookie, система пропускает их внутрь. Им не нужен ваш пароль. Им не нужен ваш MFA-токен. Им нужно лишь воспользоваться этим обходом.
Кто находится в зоне риска?
Масштаб проблемы специфичен, поэтому не паникуйте, если вы не используете затронутые версии, но обязательно проверьте это. Экземпляры Panorama и Cloud NGFW в настоящее время находятся в безопасности. Однако, если вы используете версии, перечисленные ниже, вам необходимо принять меры немедленно.
| Продукт | Затронутые версии |
|---|---|
| PAN-OS | 10.2, 11.1, 11.2, 12.1 |
| Prisma Access | 10.2, 11.2 |
Национальная база данных уязвимостей (NVD) официально зарегистрировала эту проблему. Более того, она была добавлена в каталог известных эксплуатируемых уязвимостей (KEV). В индустрии это означает, что «автоматизированные сканеры уже ищут эту брешь». Если вы еще не установили патч, вы, вероятно, уже находитесь в чьем-то списке целей.
Как защитить вашу инфраструктуру
Palo Alto Networks уже выпустила патчи. Если вы можете обновиться, сделайте это сейчас. Не ждите выходных. Если вы находитесь в ситуации, когда не можете немедленно перезагрузить систему или установить патч, вам необходимо внедрить временные меры («stop-gap»), чтобы закрыть брешь.
- Отключите Override: Если бизнес-модель позволяет, отключите «Authentication Override» в настройках GlobalProtect. Это самый эффективный способ перекрыть основной вектор атаки.
- Проведите аудит сертификатов: Проверьте свои конфигурации сертификатов и сравните их с рекомендациями, опубликованными Palo Alto. Если вы используете уязвимую настройку, измените ее.
- Следите за логами: Увеличьте уровень детализации логов вашего VPN. Ищите странные шаблоны аутентификации, входы из мест, где не проживают ваши сотрудники, или соединения, которые выглядят подозрительно.
- Усильте защиту: Поскольку этот обход минует первичную аутентификацию, ваш периметр фактически широко открыт. Если у вас настроена MFA, привязанная к обходу на основе cookie, она может быть бесполезна. Ищите способы внедрения вторичной верификации, не основанной на файлах cookie.
Реальность этой уязвимости такова, что стандартные средства защиты периметра, скорее всего, пропустят вторжение, потому что для системы злоумышленник выглядит как легитимный пользователь. Вы ищете не атаку методом перебора (brute-force); вы ищете «призрака в машине».
Следите за официальным порталом безопасности Palo Alto Networks. Ситуация динамична, и по мере того, как исследователи будут глубже изучать эксплойт, мы можем узнать больше о том, как обнаружить и смягчить последствия. На данный момент исходите из того, что угроза реальна, ваша среда сканируется, и приоритизируйте исправление соответствующим образом. Время для осторожности прошло; пришло время действовать.
