Actief misbruik kwetsbaarheid in Palo Alto Networks PAN-OS
Wat voor soort product is het?
PAN-OS is het besturingssysteem van Palo Alto Networks dat wordt gebruikt voor netwerkbeveiliging, onder andere voor het beheren van VPN-verbindingen via de GlobalProtect portal en gateway. Dit product helpt organisaties om hun netwerken te beschermen tegen ongeautoriseerde toegang.
Hoe kan dit beveiligingslek misbruikt worden?
De kwetsbaarheid met kenmerk CVE-2026-0257 maakt het mogelijk voor een niet-geauthenticeerde aanvaller om via een VPN-verbinding toegang te krijgen tot interne systemen, mits bepaalde instellingen (configuraties) zijn ingeschakeld:
- (HTTPS-)certificaten worden hergebruikt én
- de optie "Generate cookie for authentication override" of "Accept cookie for authentication override" is ingeschakeld.
Deze kwetsbaarheid wordt volgens securitybedrijf Rapid7 al actief misbruikt sinds 17 mei. Er is ook een publieke Proof-of-Conceptcode beschikbaar die de misbruik methode beschrijft. Er is bovendien veel interesse onder cybercriminelen voor zogenoemde 'edge devices' die aan randen van een bedrijfsnetwerk staan omdat deze een interessante toegangspoort tot een bedrijfsnetwerk bieden. Het NCSC verwacht dat de schaal van misbruik de komende tijd toeneemt.
Welke gevolgen kan het misbruik hebben?
Als deze kwetsbaarheid niet wordt aangepakt, kan een aanvaller via de VPN toegang krijgen tot interne systemen van een organisatie. Dit kan leiden tot datalekken, verstoring van bedrijfsprocessen en mogelijk verdere aanvallen binnen het netwerk.
Welke versies zijn kwetsbaar?
Raadpleeg de tabel op de Palo Alto-website om te zien welke versies kwetsbaar zijn. Cloud NGFW en Panorama zijn niet kwetsbaar.
Installeer snel de beveiligingsupdates
Palo Alto Networks heeft beveiligingsupdates uitgebracht die deze kwetsbaarheid verhelpen. Het NCSC adviseert om deze updates zo snel als mogelijk te (laten) installeren. Als je niet zeker weet of je gebruikmaakt van deze software of de juiste versie, neem dan contact op met je IT-dienstverlener.
Rapid7 heeft Indicators of Compromise (IoC's) gedeeld die helpen om misbruik te detecteren. Vraag indien nodig hulp van je IT-dienstverlener om je te helpen bij het updaten en het detecteren van misbruik.