Palo Alto Networks Güvenlik Duvarlarını Etkileyen Kritik Bir Açığı Kapattı
Palo Alto Networks, yeni nesil güvenlik duvarlarını etkileyen yüksek önemde bir güvenlik açığını kapattı. CVE-2026-0227 olarak izlenen bu açık, kimliği doğrulanmamış saldırganların hizmet reddi (DoS) saldırılarıyla güvenlik duvarı korumalarını devre dışı bırakmasına olanak tanıyordu. Açık, GlobalProtect ağ geçidi veya portalı etkin olan PAN-OS 10.1 ve sonraki sürümlerini çalıştıran cihazları etkiliyor.
Güvenlik Açığı Güvenlik Duvarlarını Bakım Moduna Sokabiliyor
Şirket, bulut tabanlı Prisma Access örneklerinin büyük çoğunluğuna yama uygulandığını açıkladı. Kalan sistemler için ise planlı yükseltme programları başlatıldı. Açığın şu ana kadar aktif saldırılarda kullanıldığına dair bir kanıt bulunamadı. Ancak sistem yöneticilerinin, güvenlik güncellemelerini acilen uygulaması tavsiye ediliyor.
Palo Alto Networks’un yayınladığı güvenlik bildirisine göre açık, PAN-OS yazılımında yer alıyor. Kimliği doğrulanmamış bir saldırgan, bu açığı kullanarak güvenlik duvarına karşı hizmet reddi saldırısı başlatabiliyor. Açığın tekrar tekrar tetiklenmesi, güvenlik duvarının bakım moduna girmesine yol açıyor. Bu durum, cihazın tüm koruma işlevlerini geçici olarak durdurması anlamına geliyor.
Açıktan etkilenen sistemler, GlobalProtect özelliği etkinleştirilmiş olan yeni nesil güvenlik duvarları. Prisma Access yapılandırmaları da aynı koşullardan etkileniyor. Shadowserver verilerine göre internet üzerinde erişilebilir durumda yaklaşık 6 bin Palo Alto Networks güvenlik duvarı bulunuyor. Ancak bu cihazlardan kaç tanesinin savunmasız yapılandırmaya sahip olduğu bilinmiyor.
Palo Alto Networks, etkilenen tüm sürümler için güvenlik güncellemeleri yayınladı. Yöneticilerin sistemlerini aşağıdaki tabloya göre güncellemeleri gerekiyor:
| Ürün / Sürüm | Etkilenen Alt Sürümler | Önerilen Çözüm |
|---|---|---|
| Cloud NGFW | Tümü | Herhangi bir işlem gerekmiyor. |
| PAN-OS 12.1 | 12.1.0 – 12.1.3 | 12.1.4 veya sonraki bir sürüme yükseltin. |
| PAN-OS 11.2 | 11.2.8 – 11.2.10 | 11.2.10-h2 veya sonraki bir sürüme yükseltin. |
| 11.2.5 – 11.2.7 | 11.2.7-h8 veya 11.2.10-h2 sürümüne yükseltin. | |
| 11.2.0 – 11.2.4 | 11.2.4-h15 veya 11.2.10-h2 sürümüne yükseltin. | |
| PAN-OS 11.1 | 11.1.11 – 11.1.12 | 11.1.13 veya sonraki bir sürüme yükseltin. |
| 11.1.7 – 11.1.10 | 11.1.10-h9 veya 11.1.13 sürümüne yükseltin. | |
| 11.1.5 – 11.1.6 | 11.1.6-h23 veya 11.1.13 sürümüne yükseltin. | |
| 11.1.0 – 11.1.4 | 11.1.4-h27 veya 11.1.13 sürümüne yükseltin. | |
| PAN-OS 10.2 | 10.2.17 – 10.2.18 | 10.2.18-h1 veya sonraki bir sürüme yükseltin. |
| 10.2.14 – 10.2.16 | 10.2.16-h6 veya 10.2.18-h1 sürümüne yükseltin. | |
| 10.2.11 – 10.2.13 | 10.2.13-h18 veya 10.2.18-h1 sürümüne yükseltin. | |
| 10.2.8 – 10.2.10 | 10.2.10-h30 veya 10.2.18-h1 sürümüne yükseltin. | |
| 10.2.0 – 10.2.7 | 10.2.7-h32 veya 10.2.18-h1 sürümüne yükseltin. | |
| Desteklenmeyen PAN-OS | Tümü | Desteklenen ve güvenli bir sürüme yükseltin. |
| Prisma Access 11.2 | 11.2 itibarıyla | 11.2.7-h8 veya sonraki bir sürüme yükseltin. |
| Prisma Access 10.2 | 10.2 itibarıyla | 10.2.10-h29 veya sonraki bir sürüme yükseltin. |
Palo Alto Networks güvenlik duvarları, saldırganların sıkça hedef aldığı sistemler arasında yer alıyor. Geçtiğimiz Kasım ayında şirket, aktif olarak istismar edilen iki sıfırıncı gün açığını kapatmıştı. Bu açıklar, saldırganların kök yetkileri ele geçirmesine olanak tanıyordu.
Aralık 2024’te ise başka bir PAN-OS hizmet reddi açığı (CVE-2024-3393) aktif saldırılarda kullanıldı. Şubat ayında üç farklı açığın (CVE-2025-0111, CVE-2025-0108, CVE-2024-9474) birleştirilerek güvenlik duvarlarını tehlikeye atmak için kullanıldığı bildirildi. Tehdit istihbarat şirketi GreyNoise da son dönemde otomatik bir kampanyayı izlemeye aldı. Bu kampanya, 7 binden fazla IP adresinden Palo Alto GlobalProtect portallarına yönelik kaba kuvvet saldırıları gerçekleştiriyor.
Palo Alto Networks ürün ve hizmetleri, dünya çapında 70 binden fazla müşteri tarafından kullanılıyor. Müşteriler arasında en büyük ABD bankalarının çoğu ve Fortune 10 şirketlerinin yüzde 90’ı bulunuyor. Bu geniş kullanım alanı, şirketin ürünlerini siber saldırganlar için cazip bir hedef haline getiriyor.
