Palo Alto Networks выпускает срочное обновление безопасности после обнаружения активной эксплуатации уязвимости обхода аутентификации
TL;DR
Palo Alto Networks выпускает срочное обновление безопасности после обнаружения активной эксплуатации уязвимости обхода аутентификации
Изображение предоставлено The Hacker News
Если вы используете инфраструктуру Palo Alto Networks, отложите все дела и проверьте журналы обновлений. Компания только что выпустила критические обновления безопасности для PAN-OS и Prisma Access, и на этот раз это не просто плановое обслуживание. Мы столкнулись с активной эксплуатацией уязвимостей в реальных условиях.
Ситуация связана с двумя основными проблемами: опасным обходом аутентификации (CVE-2026-0257), который позволяет злоумышленникам беспрепятственно проникать в ваш VPN, и уязвимостью интерфейса управления (CVE-2025-0108), которую хакеры объединяют с другими ошибками для закрепления в системе. Palo Alto Networks подтвердила, что, хотя эксплуатация в настоящее время ограничена, она происходит. Необновленные устройства фактически являются легкой мишенью.
Проблема с VPN: CVE-2026-0257
Давайте сначала обсудим главную проблему. CVE-2026-0257 — это кошмар с оценкой CVSS 7.8 для любого предприятия, полагающегося на GlobalProtect для удаленного доступа. По сути, эта уязвимость позволяет неавторизованному злоумышленнику обойти проверки безопасности и инициировать VPN-сессию. Это цифровой эквивалент того, как кто-то входит в вашу парадную дверь, потому что замок был установлен задом наперед.
Уязвимость затрагивает конфигурации, где портал или шлюз GlobalProtect активны, а также соблюдены определенные условия, касающиеся настроек сертификатов и файлов cookie для обхода аутентификации. Как сообщает The Hacker News, Palo Alto Networks впервые сообщила об этой проблеме 13 мая 2026 года. К 29 мая были зафиксированы первые попытки эксплуатации. Если вы еще не установили патч, вы официально отстаете от графика.
Риски интерфейса управления: CVE-2025-0108
Хотя обход VPN может привлекать больше внимания, не стоит игнорировать CVE-2025-0108. Это проблема средней степени тяжести (CVSS-BT 5.1), затрагивающая веб-интерфейс управления PAN-OS, но пусть рейтинг «средний» вас не обманывает.
Уязвимость позволяет неавторизованному злоумышленнику, имеющему сетевой доступ к интерфейсу управления, запускать определенные PHP-скрипты. Настоящая опасность здесь заключается не в самой уязвимости, а в том, как злоумышленники используют ее. Мы видели доказательства того, что хакеры объединяют эту ошибку с двумя более старыми уязвимостями — CVE-2024-9474 и CVE-2025-0111 — для усиления воздействия. Это классический сценарий, когда несколько небольших уязвимостей приводят к полному компрометированию системы.
Сводка влияния уязвимостей
| Идентификатор уязвимости | Основное воздействие | Оценка CVSS |
|---|---|---|
| CVE-2026-0257 | Несанкционированный доступ к VPN | 7.8 |
| CVE-2025-0108 | Обход интерфейса управления | 5.1 |
Как обезопасить вашу среду
Установка патчей — это обязательный первый шаг. Если вы не используете последнюю версию PAN-OS или Prisma Access, вы оставляете дверь открытой. Но поскольку эти уязвимости активно используются, вам нужно сделать больше, чем просто нажать кнопку «обновить». Вам необходимо усилить конфигурацию.
- Обновитесь немедленно: Установите на свои экземпляры последние версии, предоставленные поставщиком. Обходного пути для устранения ошибки в коде не существует.
- Ограничьте доступ к управлению: Для CVE-2025-0108 лучшая защита — закрыть доступ к интерфейсу управления из публичного интернета. Ограничьте доступ только доверенными внутренними IP-адресами. Если вам нужно освежить знания о том, как это сделать, ознакомьтесь с официальным руководством по обеспечению безопасности доступа к управлению.
- Проведите аудит GlobalProtect: Внимательно изучите настройки вашего портала и шлюза. Убедитесь, что ваши файлы cookie для обхода аутентификации соответствуют лучшим практикам безопасности и что конфигурации сертификатов не создают непреднамеренный вектор обхода.
- Следите за журналами: Ваша команда безопасности должна отслеживать необычные вызовы PHP-скриптов в интерфейсе управления. Если в вашей среде все еще присутствуют устаревшие уязвимости, такие как CVE-2024-9474 или CVE-2025-0111, вы являетесь главной целью для этих цепочек атак.
Фреймворк CVSS v4.0 подчеркивает, насколько это критично. Когда подтверждена активная эксплуатация, время работает против вас. Сочетание неавторизованного доступа и возможности выполнения скриптов в интерфейсах управления — это рецепт полного краха инфраструктуры.
Внимательно следите за порталом безопасности Palo Alto Networks. Ситуация динамична, и по мере продолжения расследования этих кампаний, вероятно, появятся новые рекомендации. Не ждите уведомления о взломе, чтобы принять меры — защитите свой периметр прямо сейчас.
