Palo Alto GlobalProtect açığı Qilin ve Settra fidye yazılımı saldırılarında kullanılıyor

Güvenlik şirketi ReliaQuest, Palo Alto Networks’ün GlobalProtect VPN’indeki CVE-2026-0257 açığının Qilin ve Settra fidye yazılımı gruplarınca kullanıldığını açıkladı. Açık, PAN-OS’un GlobalProtect portal ve ağ geçidindeki bir kimlik doğrulama atlatma hatası. Saldırgan, geçerli bir kullanıcı adı ve parola olmadan kurumun VPN’ine bağlanabiliyor. CVSS 4.0 puanı 7.8.

Palo Alto açığı 13 Mayıs’ta yamalamış, CISA da 29 Mayıs’ta aktif istismar edilen açıklar kataloğuna eklemişti. Arctic Wolf, Temmuz’da yayımladığı raporda Haziran’daki saldırılarda açığın Qilin fidye yazılımına giden yolu açtığını anlatmıştı. ReliaQuest’in raporu, açığı kullanan ikinci bir grubun da olduğunu gösteriyor. Saldırganlar kurumun kendi VPN’i üzerinden bağlandığı için trafikleri normal uzaktan çalışma gibi görünüyor. İçeri girdikten sonra Cobalt Strike, BloodHound ve SharpHound gibi araçlarla kimlik bilgilerini topluyor, ağda yayılıyor ve fidye yazılımı için hazırlık yapıyorlar.

Açık her kurulumu etkilemiyor. Sorun, kimlik doğrulama geçersiz kılma çerezleri (authentication override cookies) belirli bir sertifika yapılandırmasıyla birlikte kullanıldığında ortaya çıkıyor. Panorama ve Cloud NGFW etkilenmiyor. Shadowserver Temmuz’da internete açık 167 binden fazla GlobalProtect portalı saymıştı, bunların kaçının güncellendiği bilinmiyor.

Etkilenen sürümler

PAN-OS 12.1, 11.2, 11.1 ve 10.2 ile Prisma Access 11.2 ve 10.2 etkileniyor. Düzeltme ana sürümlerde 12.1.7, 11.2.12 ve 11.1.15 ile geldi. 10.2 serisi ve eski bakım sürümleri için ayrı düzeltme sürümleri yayımlandı. Hangi sürüme geçileceğini Palo Alto’nun bültenindeki tablodan kontrol etmek gerekiyor.

Önerilen önlemler

Güncelleme, kimlik doğrulama çerezi üreten ya da kabul eden bütün portal ve ağ geçitlerine uygulanmalı. Prisma Access’i şirket içi güvenlik duvarlarıyla birlikte kullananların bu cihazları da güncellemesi gerekiyor, aksi halde çerez uyumsuzluğu yaşanabiliyor. Bu çerezler gerekmiyorsa kapatılması, kullanılıyorsa yalnızca bu iş için yeni bir sertifika üretilmesi öneriliyor.

Yama daha önce açılmış oturumları kapatmadığı için güncellemeden sonra bütün GlobalProtect oturumlarının sonlandırılması gerekiyor. 13 Mayıs’tan bu yana açılan VPN oturumlarını gözden geçirmek, şüpheli bir durum varsa KRBTGT hesabı dahil etki alanı parolalarını değiştirmek de öneriliyor. ReliaQuest, VPN’e “kali” gibi cihaz adlarıyla bağlanan oturumların incelenmesini, ancak bunun tek başına saldırı kanıtı sayılmamasını öneriyor.