Palo Alto Networks Güvenlik Duvarlarında Kritik Açık: Saldırganlar Yönetici Yetkisiyle Kod Çalıştırabiliyor

Palo Alto Networks, PAN-OS işletim sistemindeki CVE-2026-0322 numaralı kritik güvenlik açığının saldırılarda kullanıldığını doğruladı. CVSS puanı 8,6 olan açık, ağ erişimine ve geçerli kimlik bilgilerine sahip saldırganların etkilenen güvenlik duvarlarında kök yetkisiyle kod çalıştırmasına olanak tanıyor. Şirket, etkilenen sürümler için güvenlik güncellemeleri yayımlarken yöneticilere sistemlerini güncelleme ve yönetim arayüzüne erişimi kısıtlama çağrısı yaptı.

CVE-2026-0322 Açığı PAN-OS Yönetim Arayüzünü Hedef Alıyor

Palo Alto Networks, yayımladığı güvenlik duyurusunda güvenlik açığının sınırlı sayıda saldırıda istismar edildiğini bildirdi. Şirket, saldırıların PAN-OS yönetim arayüzünü hedef aldığını belirtirken saldırganların kimliği veya faaliyetlerin ne zaman başladığı hakkında ayrıntı paylaşmadı.

CVE-2026-0322 olarak izlenen güvenlik açığı, etkilenen cihazların yönetim arayüzündeki bir güvenlik sorunundan kaynaklanıyor. Saldırganların açığı kullanabilmesi için önceden geçerli kimlik bilgilerine sahip olması ve yönetim arayüzüne ağ üzerinden erişebilmesi gerekiyor. Bu koşullar, açığın herkese açık bir arayüz üzerinden kimlik doğrulaması olmadan kullanılabilen bir açık olmadığını gösteriyor.

Buna rağmen saldırganların başarılı olması halinde kök yetkisiyle kod çalıştırabilmesi, güvenlik açığını kurumsal ağlar açısından önemli hale getiriyor. Kök yetkisi, Linux tabanlı sistemlerde en yüksek ayrıcalık seviyesini ifade ediyor. Güvenlik duvarının bu düzeyde kontrol altına alınması, cihazın güvenliğini ve ağ sınırındaki koruma mekanizmalarını tehlikeye atabiliyor.

Palo Alto Networks, açığın PA-Series ve VM-Series güvenlik duvarlarının yanı sıra Panorama sanal cihazlarını ve M-Series donanımlarını etkilediğini açıkladı. Şirketin duyurusuna göre Cloud NGFW ve Prisma Access hizmetleri ise bu güvenlik açığından etkilenmiyor.

Açığın etkilediği ürünleri kullanan kuruluşların yalnızca cihaz modelini kontrol etmesi yeterli değil. Yöneticilerin kurulu PAN-OS sürümünü, yönetim arayüzünün ağ üzerinden erişilebilirliğini ve kullanılan kimlik bilgilerinin güvenliğini de değerlendirmesi gerekiyor.

Palo Alto Networks, yönetim arayüzüne erişimin yalnızca güvenilir iç IP adresleriyle sınırlandırılmasını öneriyor. Bu önlem, saldırganların gerekli ağ erişimini elde etmesini zorlaştırarak saldırı yüzeyini daraltmayı amaçlıyor. Ancak erişim kısıtlaması, güvenlik açığını ortadan kaldıran bir düzeltme yerine ek bir koruma önlemi olarak değerlendirilmeli.

Şirket, PAN-OS 10.2, 11.1, 11.2, 12.1 ve 12.2 sürümlerinin etkilenen versiyonları için güvenlik düzeltmeleri yayımladı. PAN-OS 11.2.16 sürümüne yönelik düzeltmenin ise 15 Ekim tarihinde sunulması bekleniyor.

Desteği sona ermiş eski PAN-OS sürümlerini kullanan kuruluşların desteklenen bir sürüme yükseltme yapması gerekiyor. Palo Alto Networks, güvenlik açığı için bilinen bir geçici çözüm bulunmadığını belirtiyor. Bu nedenle kuruluşların kendi sistemlerini etkileyen sürümleri belirleyerek uygun güvenlik güncellemesini uygulaması önem taşıyor.

Threat Prevention aboneliğine sahip müşteriler, bilinen saldırı kalıplarına karşı sınırlı koruma sağlayan imzaları etkinleştirebiliyor. Ancak şirket, mevcut Threat ID imzasının tüm saldırı çeşitlerini tespit edemeyebileceği konusunda uyarıyor. Farklı saldırı yöntemlerinin mevcut imzalar tarafından yakalanamaması, bu özelliğin güvenlik yamasının yerine geçemeyeceği anlamına geliyor.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-0322 güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Kurum, federal sivil kurumların açığı en geç 17 Ekim tarihine kadar gidermesini istiyor.

Bu gelişme, açığın yalnızca teorik bir risk olarak değerlendirilmediğini ve gerçek saldırılarda kullanıldığına ilişkin bulguların resmi güvenlik süreçlerine yansıdığını gösteriyor. Federal kurumlar için belirlenen son tarih, diğer kuruluşlar açısından da güvenlik güncellemelerinin önceliklendirilmesi gerektiğine işaret ediyor.

Palo Alto Networks, açığı şirket içinde görev yapan kıdemli ürün güvenliği araştırmacısı Suraj Siddharudh’un keşfettiğini bildirdi. Şirket ayrıca saldırılarda kullanıldığı belirlenen üç IP adresini paylaştı: 66.42.72[.]14, 208.83.239[.]114 ve 149.248.47[.]234.

Saldırganların kimliği, istismar faaliyetlerinin başlangıç tarihi ve güvenlik duvarlarının ele geçirilerek iç ağlara erişim sağlanıp sağlanmadığı ise paylaşılan bilgilerde netlik kazanmadı. Kuruluşların yamaları uygulaması, yönetim arayüzlerini güvenilir adreslerle sınırlandırması ve ilgili günlükleri inceleyerek olası ihlal belirtilerini araştırması önem taşıyor.