Aktif olarak istismar edilen PAN-OS yönetim açığı CVE-2026-0322, CISA KEV kataloğuna eklendi

PAN-OS yönetim arayüzü açığı, CISA'nın istismar edilen zafiyetler listesine girdi

14 Ekim 2026'da Palo Alto Networks, geçerli bir yönetici kimlik bilgisine sahip olan ve bu arayüze erişebilen bir saldırganın firewall üzerinde root ayrıcalıklarıyla rastgele kod çalıştırmasına imkân veren PAN-OS yönetim arayüzü açığı olan CVE-2026-0322'yi duyurdu. Duyuruya ilişkin bir dev.to yazısına göre CISA, hatayı aynı gün Known Exploited Vulnerabilities (KEV) kataloğuna ekledi ve ABD federal sivil kurumlarına düzeltme için 17 Ekim'e kadar süre tanıdı — bu üç günlük süre, Palo Alto'nun az sayıda gerçek dünya istismar girişimi gözlemlemesiyle bağlantılı.

Zafiyet ne gerektiriyor

Palo Alto'nun danışma belgesini aktaran dev.to gönderisi, 8.6'lık bir CVSS puanı ve CWE-94 sınıflandırması bildiriyor; bu, saldırgan tarafından sağlanan girdinin veri olarak değil komut olarak çalıştırıldığı anlamına geliyor. İki ön koşul geçerli: geçerli bir yönetici kimlik bilgisi ve yönetim arayüzüne ağ erişimi. Hiçbir cihaz yapılandırması tek başına bir cihazı savunmasız veya güvenli kılmıyor ve danışma belgesi, yükseltme veya arayüze erişimi kısıtlama dışında bir geçici çözüm belirtmiyor.

Sorunu Palo Alto Networks içinde kıdemli baş ürün güvenliği araştırmacısı Suraj Siddharudh buldu ve şirket, gözlemlenen saldırıları adı anılan bir gruba atfetmedi. Danışma belgesi, tespit edilen faaliyetle bağlantılı üç IP adresi listeliyor: 66.42.72.14, 208.83.239.114 ve 149.248.47.234.

Kimlik doğrulama gereksinimi neden teselli etmiyor

dev.to yazarının ana argümanı, "kimliği doğrulanmış" etiketinin bu danışma belgesinin en riskli kısmı olması. Firewall yönetici kimlik bilgileri, tıpkı diğer kimlik bilgileri gibi infostealer kötü amaçlı yazılımları, şifre tekrar kullanımı ve ele geçirilmiş uç noktalar üzerinden sızabiliyor; dolayısıyla çalınmış bir hesaba sahip bir saldırgan, CVSS vektörünün gerekli ayrıcalıklar hakkında söylediğine bakılmaksızın fiilen root erişimi elde ediyor.

Yönetim erişimini adanmış bir jump host ile kısıtlamak, puanlanan önemi neredeyse değiştirmiyor ve 8.6'dan 8.5'e düşürüyor; çünkü o host'a erişebilen geçerli kimlik bilgilerine sahip herkes açığı yine de istismar edebilir. Threat Prevention imzaları 510046 ve 510047 bilinen saldırı kalıplarını kapsıyor, ancak danışma belgesi uyarısına göre varyasyonlar tespitten kaçabiliyor; bu da imzaları bir düzeltme değil kısmi koruma haline getiriyor.

Düzeltilen sürümler ve önerilen kontroller

Gönderiye göre, kullanılan dala bağlı olarak asgari düzeltilmiş PAN-OS sürümleri 10.2.18-h12, 11.1.16-h3, 11.2.16, 12.1.10-h2 ve 12.2.4. PA-Series, VM-Series ve Panorama kurulumları kapsam içindeyken Cloud NGFW ve Prisma Access hiç etkilenmemişti.

Yamalamanın ötesinde yazar, operatörlerin yamalanmış dallarda bile yönetim arayüzüne yalnızca adanmış bir jump host üzerinden erişilebildiğini doğrulamalarını, üç yayımlanmış IP adresinden gelen faaliyet için firewall ve Panorama yönetici günlüklerini incelemelerini ve yönetim arayüzüne beklenmeyen bir ağdan dokunmuş her kimlik bilgisini döndürmelerini öneriyor. Gönderide tarif edilen yazarın kendi denetimi, erken bir pilot çalışmadan kalan ve amaçlanan jump host yerine genel ofis ağından erişilebilen bir VM-Series örneği ortaya çıkardı — doğrulanmış istismarın tam da pahalı hale getirdiği türden bir sapma.

Neden önemli

İki şey bunu rutin bir yama kaleminin üzerine çıkarıyor. Birincisi, tehdit varsayımsal değil kanıtlanmış: CISA'nın aynı gün KEV'e eklemesi ve sıkıştırılmış federal son tarih, saldırganların bu açığı geçerli kimlik bilgileriyle canlı firewall'lara karşı zaten eşleştirdiği için var. İkincisi, hata ekiplerin önem puanlarını okuma biçimindeki tekrarlayan bir zayıflığı gözler önüne seriyor. CVSS "gerekli ayrıcalıklar" alanı zafiyetin ne talep ettiğini tarif eder, o ayrıcalıkların belirli bir ortamda edinilmesinin ne kadar zor olduğunu değil. Düzeltilmiş sürümü kurup geçen kuruluşlar, ele geçirilmiş tek bir yönetici şifresi uzaklığında kalabilir ve hiçbir PAN-OS sürümü bu belirli boşluğu kapatamaz.