Palo Alto PAN-OS CVE-2026-0322: Yönetim Arayüzünde Root Yetkisiyle Kod Çalıştırma, Düzeltilmiş Sürümler ve Önlemler

Açık ne yapıyor? (What the vulnerability does)

CVE-2026-0322, PAN-OS'un web tabanlı yönetim arayüzünde bir kod enjeksiyonu (CWE-94) açığı. Palo Alto'nun tavsiye metnine göre yönetim arayüzüne ağ üzerinden ulaşabilen ve kimliği doğrulanmış bir saldırgan, cihazda root yetkisiyle istediği kodu çalıştırabiliyor. Açığın ortaya çıkması için özel bir yapılandırma gerekmiyor; yönetim arayüzü açık olan her desteklenen cihaz etkilenebilir durumda.

Açığı Palo Alto'nun kendi araştırmacısı Suraj Siddharudh bildirdi. Tavsiye 14 Ekim'de yayımlandı, 15 Ekim'de PAN-OS 11.2.16 çıkınca güncellendi. CVSS 4.0 vektöründe "Exploit Maturity: ATTACKED" yazıyor, yani saldırıda kullanıldığı üretici tarafından doğrulanmış. Üreticinin önerdiği aciliyet düzeyi "HIGHEST".

Yetki gerekiyorsa neden önemli? (Why it matters)

Açık yüksek yetkili bir oturum istediği için ilk bakışta riskli görünmeyebilir. Ancak pratikte üç durum bu şartı kolaylaştırıyor:

• Çalınmış yönetici parolaları: güvenlik duvarı yöneticilerinin parolaları kimlik avı, eski sızıntılar ya da parola tekrarı yoluyla ele geçirilebiliyor.
• İnternete açık yönetim arayüzleri: yönetim portu dış ağa açık bırakılan cihazlar düzenli taranıyor.
• Yetki zincirleri: başka bir açıkla yönetici oturumu elde eden saldırgan, bu açıkla doğrudan root'a çıkıyor.

Yönetici paneline giriş zaten cihazın ayarlarını değiştirmeye izin veriyor; root erişimi ise bundan fazlasını sağlıyor. Saldırgan işletim sistemi düzeyinde kalıcı arka kapı kurabiliyor, trafiği izleyebiliyor ve izlerini panel günlüklerinden gizleyebiliyor. Güvenlik duvarı ağın kenarında durduğu için ele geçirilmesi tüm iç ağa açılan bir kapı anlamına geliyor. Aynı ay Ivanti Connect Secure ve BeyondTrust Remote Support açıklarının da saldırıda kullanılması, kenar cihazların bu dönemde öncelikli hedef olduğunu gösteriyor.

Etkilenen ve düzeltilmiş sürümler (Affected and fixed versions)

Tavsiyedeki tabloya göre aşağıdaki sürümler ve üstü güvenli. Kullandığınız ara sürüm dalına göre en yakın düzeltilmiş sürümü seçin:

Örnek: 11.2.14 ya da 11.2.15 kullanan cihaz 11.2.16'ya, 10.2.17 ile 10.2.18-h* arasındaki cihaz 10.2.18-h12'ye geçmeli. Desteği bitmiş eski sürümlerde çalışan cihazlar için üretici, desteklenen bir düzeltilmiş sürüme yükseltmeyi öneriyor. Mevcut sürümü CLI'dan şöyle görebilirsiniz:

show system info | match sw-version

Panorama kullanan yapılarda hem Panorama'yı hem yönetilen güvenlik duvarlarını ayrı ayrı kontrol edin. Panorama sanal ve M-Series cihazlar da etkilenenler listesinde.

Yama gelene kadar önlemler (Mitigations)

Palo Alto açıkça "bilinen bir geçici çözüm yok" diyor. Riski azaltan adımlar şunlar:

• Yönetim erişimini kısıtlayın: yönetim arayüzüne yalnız güvenilir iç IP adreslerinden, tercihen sertleştirilmiş bir atlama sunucusu (jump box) üzerinden erişilsin. Bu kısıtlama CVSS puanını 8.5'e indiriyor ama açığı kapatmıyor.
• Yönetimi internete kapatın: yönetim portu ya da yönetim profili tanımlı bir veri arayüzü dış ağa açıksa hemen kapatın.
• Threat Prevention imzaları: Threat Prevention aboneliği olan cihazlarda 510046 ve 510047 numaralı Threat ID'ler (Applications and Threats içerik sürümü 9159-10287 ve üstü) bilinen saldırı kalıplarını engelliyor. İmzaların çalışması için yönetim trafiğinin SSL şifre çözme ile incelenmesi gerekiyor.
• Yönetim trafiğini veri düzleminden geçirin: üretici, gelen yönetim trafiğini bir veri düzlemi arayüzüne yönlendirmeyi, bu trafik için sertifikayı değiştirmeyi, şifresini çözmeyi ve Threat Prevention ile incelemeyi öneriyor.
• Yönetici hesaplarını gözden geçirin: kullanılmayan yönetici hesaplarını kapatın, parolaları değiştirin, mümkünse çok faktörlü doğrulamayı zorunlu kılın.

Üretici imzaların "sınırlı koruma" sağladığını, saldırı varyasyonlarını yakalamayabileceğini ayrıca vurguluyor. Kalıcı çözüm yalnız sürüm yükseltmesi.

İz arama: IoC ve günlükler (Indicators of compromise)

Palo Alto, tehdit faaliyeti ve sınırlı istismar denemeleriyle ilişkili üç IP adresi paylaştı:

66.42.72.14
208.83.239.114
149.248.47.234

Bu adreslerin yönetim arayüzü, sistem ve kimlik doğrulama günlüklerinde geçip geçmediğini arayın. Ek olarak şu belirtilere bakın:

• Beklenmeyen saatlerde ya da tanımadığınız adreslerden yapılan yönetici girişleri,
• Yapılandırma günlüğünde kimsenin hatırlamadığı değişiklikler (yeni yönetici hesabı, yeni NAT/güvenlik kuralı, değişen syslog hedefi),
• Cihazdan dışarıya giden alışılmadık bağlantılar.

İz bulunursa cihazı yalnız yamalamak yetmez; yapılandırmayı güvenilir bir yedekten doğrulayın, tüm yönetici parolalarını ve cihazda tutulan VPN, LDAP, RADIUS gibi gizli bilgileri değiştirin ve olay müdahalesi için Palo Alto destek ekibiyle iletişime geçin. CISA, ABD federal kurumlarına açığı 17 Ekim'e kadar kapatma süresi verdi; bu, açığın ne kadar acil görüldüğünü gösteriyor.

Alesta WEB olarak sunucu ve ağ altyapısında aynı ilkeyi uyguluyoruz: yönetim panelleri internete değil, yalnız tanımlı adreslere açık olmalı. Bu tek ayar, yönetim arayüzündeki açıkların çoğunu dış saldırgan için ulaşılmaz kılıyor.

Sık sorulan sorular

Yönetim arayüzüm internete kapalıysa güvende miyim?

Risk önemli ölçüde azalır ama sıfırlanmaz. İç ağa sızmış bir saldırgan ya da çalınmış bir yönetici hesabı yine açığı kullanabilir. Sürüm yükseltmesini planlayın.

Cloud NGFW ya da Prisma Access kullanıyorum, bir şey yapmam gerekiyor mu?

Hayır. Palo Alto bu iki hizmetin etkilenmediğini açıkladı.

Açık kimlik doğrulamasız mı kullanılabiliyor?

Hayır. Saldırganın geçerli ve yüksek yetkili bir yönetici oturumu olması gerekiyor. Bu yüzden parola güvenliği ve erişim kısıtlaması bu açıkta çok belirleyici.

Threat Prevention imzaları yamanın yerini tutar mı?

Tutmaz. Üretici imzaların yalnız bilinen saldırı kalıplarını yakaladığını ve SSL şifre çözme gerektirdiğini belirtiyor.

İlgili yazılar: Ivanti Connect Secure zero-day · BeyondTrust Remote Support açığı · Web hosting · İletişim

Kapak fotoğrafı: Albert Stoynov / Unsplash