Palo Alto Kasım bülteni: PAN-OS'ta kimlik doğrulamasız bilgi ifşası, Panorama'da root yetkili RCE
Palo Alto Networks 11 Kasım'da PAN-OS, Panorama, GlobalProtect ve Prisma Browser için 10 bildirim yayımladı. En yüksek puanlılar dataplane üzerinden bilgi ifşası CVE-2026-0331 ve Panorama'da yönetici yetkisiyle RCE CVE-2026-0330; sahada istismar bilinmiyor.
CVE-2026-0331, CVE-2026-0330, CVE-2026-0329
Palo Alto Networks, 11 Kasım'da aylık güvenlik bülteni kapsamında 10 bildirim yayımladı. En yüksek puanlı açık CVE-2026-0331 (CVSS v4 6.6, orta): kimlik doğrulaması olmayan bir saldırgan, dataplane arayüzüne ya da arayüzden geçen trafikle firewall ve oturum bilgilerine erişebiliyor. Özel bir yapılandırma gerekmiyor ve geçici çözüm yok. İkinci önemli açık CVE-2026-0330 (CVSS v4 6.1), Panorama'da yönetici yetkisine sahip ve yönetim arayüzüne erişebilen bir kullanıcının root yetkisiyle kod çalıştırmasına izin veriyor.
Üretici hiçbir açık için kötü niyetli istismar bilmediğini belirtiyor; açıklar CISA KEV kataloğunda değil. Bültende ayrıca belirli yapılandırmalarda DoS'a yol açan CVE-2026-0329 buffer overflow'u, Windows'taki GlobalProtect uygulamasında yerel kullanıcının SYSTEM yetkisi almasını sağlayan CVE-2026-0324 (OPSWAT MetaDefender SDK kaynaklı), Prisma Browser için Chromium güncellemesi (PAN-SA-2026-0014) ve düşük puanlı beş GlobalProtect/PAN-OS açığı (CVE-2026-0325 … CVE-2026-0328) yer alıyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| PAN-OS 12.2 | < 12.2.4-h2 | 12.2.4-h2 |
| PAN-OS 12.1 | < 12.1.4-h14, < 12.1.7-h12, < 12.1.10-h4 | 12.1.4-h14 / 12.1.7-h12 / 12.1.10-h4 |
| PAN-OS 11.2 | < 11.2.4-h24, < 11.2.7-h24, < 11.2.10-h18, < 11.2.13-h5, < 11.2.16-h2 | 11.2.4-h24 / 11.2.7-h24 / 11.2.10-h18 / 11.2.13-h5 / 11.2.16-h2 |
| PAN-OS 11.1 | < 11.1.4-h39, < 11.1.6-h41, < 11.1.7-h13, < 11.1.10-h37, < 11.1.13-h17, < 11.1.16-h5 | 11.1.4-h39 / 11.1.6-h41 / 11.1.7-h13 / 11.1.10-h37 / 11.1.13-h17 / 11.1.16-h5 |
| PAN-OS 10.2 | < 10.2.7-h40, < 10.2.10-h43, < 10.2.13-h28, < 10.2.16-h13, < 10.2.18-h14 | 10.2.7-h40 / 10.2.10-h43 / 10.2.13-h28 / 10.2.16-h13 / 10.2.18-h14 |
| GlobalProtect App 6.3 (Windows) | 6.3.0 – 6.3.3-h2 | 6.3.3-h3 (6.3.3-711) |
| GlobalProtect App 6.2 (Windows) | 6.2.0 – 6.2.8-h3 | 6.2.8-h4 (6.2.8-317) |
| Cloud NGFW, Prisma Access | Üretici bildirimindeki liste | Planlı bakım döngüsünde üretici yükseltiyor |
PAN-OS satırları CVE-2026-0329, CVE-2026-0330 ve CVE-2026-0331 bildirimlerinde aynı. CVE-2026-0330 yalnızca Panorama'yı, CVE-2026-0331 ve CVE-2026-0329 yalnızca firewall'ları etkiliyor. CVE-2026-0329 için cihazda sertifika tabanlı ve CRL/OCSP denetimli bir IKE Gateway ya da etkin bir DNS Proxy nesnesi bulunmalı.
Beni etkiliyor mu?
Firewall ve Panorama'da sürümü salt okunur görmek için CLI'da:
show system infoÇıktıdaki sw-version değeri tablodaki düzeltilmiş sürümden düşükse cihaz etkileniyor. CVE-2026-0329 maruziyeti için arayüzde Network › IKE Gateways altında sertifika profillerini (CRL/OCSP seçenekleri) ve Network › DNS Proxy altındaki nesneleri kontrol edin. GlobalProtect sürümünü istemcide uygulama menüsündeki Settings › About ekranından görebilirsiniz.
Ne yapılmalı?
- PAN-OS ve Panorama'yı kendi dalınızdaki düzeltilmiş hotfix sürümüne planlı bir change ile yükseltin; Panorama'yı yönettiği firewall'lardan önce ele alın.
- Panorama ve firewall yönetim arayüzüne erişimi yalnızca güvenilir iç IP adreslerine ya da bir jump box'a sınırlayın; üretici
CVE-2026-0330riskinin bu adımla belirgin biçimde düştüğünü söylüyor. - Threat Prevention aboneliği olanlar için üretici, içerik sürümü 9171-10349 ve sonrasında Threat ID 510045/510048 (
CVE-2026-0330) ve 510051/510052 (CVE-2026-0329) ile sınırlı koruma sunuyor; bunlar SSL Decryption gerektiriyor. - Hemen yükseltemeyenler için
CVE-2026-0329'da geçici önlem, ilgili sertifika profilinde CRL/OCSP kullanımını ve DNS Proxy nesnelerini kapatmak; bunun VPN ve DNS akışına etkisini değerlendirip change kaydıyla uygulayın. - Windows'ta GlobalProtect 6.2/6.3 kullanan kurumlar istemcileri dağıtım aracıyla düzeltilmiş sürüme taşısın.
