Mayıs 2026 itibarıyla, PAN-OS GlobalProtect portal ve ağ geçidi bileşenlerinde kritik bir kimlik doğrulama atlatma zafiyeti (CVE-2026-0257) aktif olarak kötüye kullanılmaktadır. Bu güvenlik açığı, saldırganların yetkisiz VPN bağlantıları kurmasına olanak tanıyarak kurumsal ağlara izinsiz erişim riskini artırmaktadır.
Saldırının Genel Çerçevesi
Zafiyet, kimlik doğrulama devre dışı bırakma çerezlerinin etkin olduğu ve belirli sertifika yapılandırmalarının bulunduğu PAN-OS tabanlı güvenlik duvarlarında ortaya çıkmaktadır. Saldırganlar, bu açıklığı kullanarak GlobalProtect portal ve ağ geçidindeki güvenlik kısıtlamalarını aşabilmektedir. İlk istismar girişimleri Mayıs 2026 ortasında tespit edilmiş olup, saldırı kampanyası iki dalga halinde gerçekleşmiştir.
Hangi Sistemler Risk Altında?
Özellikle GlobalProtect portal veya ağ geçidi yapılandırması bulunan ve kimlik doğrulama atlatma çerezlerini kullanan PAN-OS güvenlik duvarları hedef alınmaktadır. Bu durum, finans, sağlık ve kamu gibi kritik sektörlerde faaliyet gösteren kurumlar için önemli bir tehdit oluşturmaktadır. Ayrıca, VPN IP ataması yoluyla iç ağ erişimi sağlanması, saldırganların lateral hareket kabiliyetini artırmaktadır.
Saldırı Zinciri ve Teknik Detaylar
- Kullanılan Zafiyet: CVE-2026-0257, kimlik doğrulama atlatma açığıdır.
- Saldırı Adımları: Kimlik doğrulama atlatma çerezlerinin kötüye kullanımı, VPN bağlantısının yetkisiz kurulması, IP ataması ile iç ağa erişim.
- İstismar Araçları: Özel olarak yapılandırılmış sertifikalar ve otomatik VPN oturum açma mekanizmaları.
- Hedef Sektörler: Kurumsal VPN kullanan finans, sağlık ve kamu kurumları.
- Önerilen Savunma: PAN-OS cihazlarının güncellenmesi, kimlik doğrulama atlatma çerezlerinin devre dışı bırakılması veya yeni sertifika oluşturulması, çok faktörlü kimlik doğrulama (MFA) ve ağ segmentasyonu.
Siber Güvenlik Ekipleri İçin Öneriler
- PAN-OS cihazlarını en güncel yamalarla güncelleyin.
- Kimlik doğrulama atlatma çerezlerini devre dışı bırakın veya yeni sertifikalar oluşturun.
- VPN oturum kayıtlarını ve kimlik doğrulama loglarını düzenli olarak inceleyin.
- EDR ve SIEM sistemlerinde anormal VPN bağlantılarını tespit edecek kurallar oluşturun.
- Ağ segmentasyonu ile kritik kaynaklara erişimi sınırlandırın.
- MFA uygulamasını zorunlu hale getirin.
- Olay müdahale planlarınızı güncelleyerek bu tür istismarları hızlıca tespit edin.
Kurumsal Ortamlarda Olası Senaryo
Örneğin, bir finans kuruluşunda GlobalProtect VPN kullanan bir güvenlik duvarı, kimlik doğrulama atlatma açığı nedeniyle saldırganlar tarafından hedef alınabilir. Saldırgan, özel yapılandırılmış bir sertifika ve atlatma çerezleri sayesinde VPN bağlantısı kurarak iç ağa erişim sağlar. Bu erişim, hassas müşteri verilerinin sızdırılması veya fidye yazılımı saldırıları için başlangıç noktası olabilir. Bu nedenle, kurumların hem yamaları hızla uygulaması hem de ağ segmentasyonu ve olay müdahale süreçlerini güçlendirmesi kritik önem taşımaktadır.