Kerngegevens
- Leverancier
- Palo Alto Networks
- Soort software
- firewall
- Getroffen versies
- PAN-OS 12.1 ouder dan 12.1.4-h6 of 12.1.7
- PAN-OS 11.2 ouder dan 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 of 11.2.12
- PAN-OS 11.1 ouder dan 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 of 11.1.15
- PAN-OS 10.2 ouder dan 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 of 10.2.18-h6
- Prisma Access 10.2 ouder dan 10.2.10-h36, 11.2 ouder dan 11.2.7-h13
- Oplossing
- Update beschikbaar
- Opgeloste versie
- PAN-OS 12.1 12.1.4-h6 of 12.1.7
- PAN-OS 11.2 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 of 11.2.12
- PAN-OS 11.1 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 of 11.1.15
- PAN-OS 10.2 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 of 10.2.18-h6
- Prisma Access 10.2.10-h36 of 11.2.7-h13
- CVE gepubliceerd
- 13 mei 2026
- Op de KEV-lijst sinds
- 29 mei 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In het GlobalProtect-portaal en de GlobalProtect-gateway van PAN-OS, het besturingssysteem van Palo Alto Networks-firewalls, zit een fout waarmee de inlogcontrole te omzeilen is. Een aanvaller kan daardoor een VPN-verbinding opzetten zonder dat daar toestemming voor is. Het lek staat sinds mei 2026 op de KEV-lijst van actief misbruikte lekken. De ernst is hoog (7,8).
Wie loopt risico?
Je loopt risico als je een Palo Alto Networks-firewall met PAN-OS gebruikt waarop een GlobalProtect-portaal of -gateway draait met authentication override cookies ingeschakeld ('Generate/Accept cookie for authentication override') en een bepaalde certificaatconfiguratie. Ook Prisma Access is getroffen; Palo Alto werkt die zelf bij volgens een planning. Panorama en Cloud NGFW zijn niet getroffen. De aanval vereist geen inloggegevens en geen handeling van een gebruiker. Volgens CISA wordt het lek ook bij ransomware-aanvallen gebruikt.
Wat moet je doen?
Controleer of je getroffen bent
Kijk of op je portaal (Agent Configuration > Authentication) of gateway (Client Settings > Authentication Override) de optie 'Generate cookie' of 'Accept cookie for authentication override' aan staat. Vergelijk daarnaast je PAN-OS-versie met de opgeloste versies.
Werk PAN-OS bij
Installeer de hotfix voor jouw reeks of de nieuwste release: 12.1.7, 11.2.12, 11.1.15 of 10.2.18-h6. Werk alle GlobalProtect-portals en -gateways (intern en extern) tegelijk bij om problemen met cookies te voorkomen. Na de update moeten gebruikers één keer opnieuw inloggen.
Tijdelijke maatregel als je niet direct kunt bijwerken
Gebruik een apart certificaat voor de authentication override cookies, dus niet het certificaat van het portaal of de gateway. Of zet authentication override uit op portaal en gateway.
Kijk naar verdachte VPN-verbindingen
Controleer de logbestanden van GlobalProtect op VPN-verbindingen die je niet herkent, vooral sinds mei 2026. Palo Alto verwijst voor indicators of compromise naar het threat brief van Unit 42.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een omzeiling van authenticatie (authentication bypass) in de GlobalProtect-portal en -gateway van PAN-OS. Een aanvaller kan hierdoor beveiligingsbeperkingen omzeilen en een onbevoegde VPN-verbinding opbouwen. De CVSS 4.0-vector geeft aan dat de aanval via het netwerk kan, met lage complexiteit, zonder vereiste rechten en zonder gebruikersinteractie. De CWE-indeling (CWE-565) wijst op het vertrouwen op cookies zonder voldoende validatie en integriteitscontrole. De leverancier meldt dat Panorama en Cloud NGFW niet getroffen zijn. Het lek staat sinds 29 mei 2026 op de KEV-lijst.
CVSS-vector (versie 4.0, basisscore 7,8, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:N/R:A/V:D/RE:M/U:Red- Zwakheid (CWE)
- CWE-565 · Vertrouwen op cookies zonder validatie en integriteitscontrole
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 95,0%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 29 mei 2026
- Deadline van CISA
- 1 juni 2026
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA