Palo Alto PAN-OS yönetim arayüzündeki kod çalıştırma açığı saldırılarda kullanılıyor

Palo Alto Networks’ün güvenlik duvarı işletim sistemi PAN-OS’ta, saldırılarda kullanılan bir açık kapatıldı. CVE-2026-0322 numaralı açık, cihazın yönetim arayüzünde bulunuyor. Kimliği doğrulanmış, yani geçerli bir hesabı olan ve yönetim arayüzüne ağ üzerinden erişebilen bir saldırgan, güvenlik duvarında root yetkisiyle kod çalıştırabiliyor. CVSS 4.0 puanı 8.6.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) açığı 14 Ekim’de aktif istismar edilen açıklar kataloğuna ekledi ve ABD federal kurumlarına 17 Ekim’e kadar süre verdi. Açığın gerçek saldırılarda kullanıldığı doğrulanmış durumda.

Bu açık, Palo Alto’da kısa süre önce haberleştirdiğimiz bir diğer açıkla karıştırılmamalı. Ekim başındaki açık (CVE-2026-0257) GlobalProtect VPN’indeydi ve kimlik doğrulamayı atlatıp parolasız VPN bağlantısı kurmaya izin veriyordu. Buradaki açık ise farklı bir yerde, cihazın yönetim arayüzünde ve saldırganın zaten geçerli bir hesabı olmasını gerektiriyor.

Açık giriş gerektirdiği için, saldırganın önce geçerli bir hesaba ve yönetim arayüzüne erişimi olması gerekiyor. Palo Alto’nun önerisi zaten yönetim arayüzünü internete açık bırakmamak, yalnızca güvenilen iç adreslerden erişime izin vermek. Bu önlem alınmış cihazlarda açığın kullanılması zorlaşıyor. Yönetim arayüzü internete açık duran cihazlar ise doğrudan risk altında.

Etkilenen sürümler

Açık PAN-OS 12.2, 12.1, 11.2, 11.1 ve 10.2 sürümlerini etkiliyor. Düzeltme 12.2 serisinde 12.2.4 ile geldi, diğer serilerin düzeltilmiş sürümleri Palo Alto’nun bülteninde listeleniyor. Palo Alto’nun bulut tabanlı Cloud NGFW ve Prisma Access hizmetleri etkilenmiyor.

Önerilen önlemler

PAN-OS kullanan kurumların bültendeki düzeltilmiş sürüme geçmesi gerekiyor. Bunun yanında yönetim arayüzünün internetten erişimini kapatmak ya da yalnızca güvenilen adreslerle sınırlamak, hem bu açığa hem de yönetim arayüzünü hedef alan diğer açıklara karşı en etkili önlem. Yönetim arayüzü daha önce internete açık durduysa, cihazın kayıtlarında tanınmayan oturum ve işlemlerin aranması yerinde olur.