Palo Alto güvenlik duvarlarında root yetkisi veren PAN-OS açığı saldırılarda kullanılıyor

Palo Alto Networks, 14 Ekim'de PAN-OS işletim sisteminin yönetim arayüzündeki ve şimdiden saldırılarda kullanılan CVE-2026-0322 kodlu kod enjeksiyonu açığını duyurdu ve yamaladı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da aynı gün, aktif istismar kanıtlarına dayanarak açığı Bilinen İstismar Edilmiş Açıklar (KEV) kataloğuna ekledi. PAN-OS, pek çok kurumsal ağın sınırında duran güvenlik duvarlarında çalıştığı için bu cihazların ele geçirilmesi saldırganlara altyapının en kritik noktasında dayanak sağlayabiliyor.

Neler oldu?

Üreticinin güvenlik duyurusuna göre yönetim arayüzüne ağ erişimi olan ve kimliği doğrulanmış bir saldırgan, cihazda root yetkisiyle istediği kodu çalıştırabiliyor. Palo Alto Networks, yönetim arayüzünü hedef alan "çok sınırlı" istismar gözlemlediğini belirtti ve etkinlikle bağlantılı üç IP adresini ihlal göstergesi olarak paylaştı: 66.42.72.14, 208.83.239.114 ve 149.248.47.234.

Şirket açığı CVSS 4.0 ölçeğinde 8,6 puanla "yüksek" olarak derecelendirse de en yüksek aciliyet seviyesini verdi. Duyuruda, yönetim arayüzüne internetteki harici IP adreslerinden erişime izin verildiğinde riskin en yüksek seviyeye çıktığı vurgulandı. CISA'nın uyarısında bu açık, Cisco Secure Email Gateway ve AhsayCBS'teki aktif istismar edilen üç açıkla birlikte duyuruldu.

Teknik detaylar

Açık, CWE-94 (kod enjeksiyonu) olarak sınıflandırılıyor. Palo Alto Networks'e göre bir cihazın savunmasız olması için özel bir yapılandırma gerekmiyor. Açık şirket içinden bildirildi. Duyuruyu aktaran SecurityOnline, doğrulanmış kamuya açık bir kavram kanıtı (PoC) istismar kodu bulunmadığını belirtti.

Kimler etkileniyor?

Duyuru, PA-Series ve VM-Series güvenlik duvarları ile Panorama'yı (sanal ve M-Series) kapsıyor. Cloud NGFW ve Prisma Access etkilenmiyor. Üreticinin açıkladığı yamalı sürümler şöyle:

• PAN-OS 12.2: 12.2.4
• PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8, 12.1.10-h2
• PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3, 11.2.16 (sonuncusu için tahmini tarih 15 Ekim)
• PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3
• PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12

Desteği sona ermiş eski PAN-OS sürümlerini çalıştıran cihazların desteklenen ve yamalı bir sürüme taşınması gerekiyor.

Ne yapmalı?

Palo Alto Networks bilinen bir geçici çözüm olmadığını açıkladığı için asıl çözüm güncelleme. Yöneticilerin, üreticinin en iyi uygulama önerileri doğrultusunda yönetim arayüzüne erişimi yalnızca güvenilir iç IP adresleriyle veya bir atlama sunucusuyla (jump host) sınırlandırması gerekiyor. Threat Prevention aboneleri, 510046 ve 510047 numaralı Threat ID'leri (içerik sürümü 9159-10287 ve sonrası) etkinleştirerek sınırlı koruma sağlayabiliyor; bu imzalar yönetim trafiğinin SSL şifre çözümünü gerektiriyor. Kurumların ayrıca kayıtlarda paylaşılan IP adreslerinden gelen bağlantıları araması ve cihazları ele geçirilme belirtileri açısından incelemesi öneriliyor; CISA'nın federal kurumlara yönelik direktifi de yama öncesinde sistemlerin ihlal edilip edilmediğinin doğrulanmasını vurguluyor.