CVE-2026-0313: Cortex XSOAR ve XSIAM OS Query paketlerindeki komut enjeksiyonu 1.0.17'de giderildi

Palo Alto Networks, Cortex XSOAR ve Cortex XSIAM güvenlik orkestrasyonu ürünleri için hazırlanmış bir içerik paketindeki işletim sistemi komut enjeksiyonu açığını giderdi. CVE-2026-0313 olarak takip edilen bu hata, OS Query paketindeki açığı kullanan kimliği doğrulanmış bir yöneticinin, platformun yönettiği uzak uç noktalarda rastgele işletim sistemi komutları çalıştırmasına olanak tanıyarak bir konsol oturumunu yönetilen sunucularda bir köprübaşı hâline getiriyordu.

Açıklık

dev.to'da yayımlanan ve üreticinin danışma belgesiyle Fransız CERT bülteni CERTFR-2026-AVI-1326'ya atıfta bulunan bir analize göre Palo Alto Networks sorunu 14 Ekim 2026'da açıkladı. Açıklık CWE-78, yani işletim sistemi komut enjeksiyonu olarak sınıflandırıldı ve CVSS-BT altında 6.1, CVSS-B altında 8.6 puan aldı. Aciliyet düzeyi orta olarak belirlendi, istismar olgunluğu bildirilmedi olarak kaydedildi ve açıklamada bilinen kötüye kullanım bulunmuyor.

Etkilenen bileşenler 1.0.17 sürümünün altındaki Cortex XSIAM ve Cortex XSOAR için OS Query paketi; 1.0.17 sürümü her ikisini de çözüyor.

Hata nasıl çalışıyor

OS Query paketi, bir uç nokta filosunda işletim sistemi sorguları yürütüyor ve bu uç noktalara ulaşmak için platformun SSH entegrasyonuna dayanıyor. dev.to yazısında açıklandığı gibi, platform üzerinden geçen girdi temizlenmeden komut katmanına ulaşıyordu; bu nedenle özenle hazırlanmış bir değer, sorgu argümanı olarak yorumlanmak yerine hedef makinede yürütülebiliyordu.

Yazıya göre istismar, aynı anda gerçekleşen üç koşula bağlı: bir yönetici oturum açmış olmalı, paket kurulu olmalı ve SSH, erişilebilir uç noktalara göre yapılandırılmış olmalı. Bunlardan herhangi biri ortadan kalktığında saldırı yolu da ortadan kalkıyor.

Dışarıdan boyutlandırmak zor

Harici tarama,暴露 durumu konusunda bulanık bir tablo sunuyor. dev.to makalesi, Cortex XSOAR başlıklı varlıklar için yapılan bir ZoomEye sorgusunun 7.667 sonuç döndürdüğünü, bu belirli CVE'ye bağlı bir sorgunun ise hiç sonuç döndürmediğini bildiriyor. Yazar, ilk sayının güvenlik açığı bulunan örnekleri değil parmak izi eşleşmiş, ürün başlıklı varlıkları saydığına, ikincinin ise güvenliği değil eksik CVE parmak izlerini yansıttığına dikkat çekerek, kararların iç yapılandırma verilerine dayandırılması gerektiğini söylüyor.

Çözüm ve sağlamlaştırma

Doğrudan çözüm, OS Query paketini 1.0.17 sürümüne yükseltmek. Bunun ötesinde dev.to analizi, açığın ortaya çıkardığı erişim alanını daraltmayı öneriyor: Cortex konsolunu yalnızca yönetim ağlarıyla sınırlı tutun, SSH entegrasyonuna kendi ayrıcalığı düşük özel hesaplarını verin, entegrasyonun desteklediği yerlerde komut izin listeleri uygulayın ve otomasyonu asla bir etki alanı yöneticisi hesabına yönlendirmeyin.

Analiz ayrıca, yönetim düzleminden uç noktalara uzanan her entegrasyonu kataloglamayı; hangi kimliği kullandığını, ne kadar ayrıcalığa sahip olduğunu, hangi ağ yolunu izlediğini ve kime ait olduğunu kaydetmeyi ve içerik paketlerine, platformun ayrıcalıklarıyla çalıştıkları için herhangi bir kodla aynı incelemeyi uygulamayı tavsiye ediyor. Birden fazla tenant çalıştıran kuruluşlar hepsini kontrol etmeli, çünkü paketin kurulu olduğu bir laboratuvar veya bölgesel tenant, üretim ortamındaki kadar hedef konumundadır.

Neden önemli

Güvenlik orkestrasyonu platformları, bir kuruluşun çalıştırdığı neredeyse her şeyin üzerinde yer alır: kimlik bilgilerini saklar ve yönettikleri neredeyse her sisteme dokunmak için gereken ağ erişimine sahiptirler. CVE-2026-0313, küçük bir eklentinin, bir içerik paketinin, bu erişimi aynı denetim olmadan devraldığında ne olduğunun kanıtı. Bir yöneticiden beklenen yetkiler playbook çalıştırmak, olay verilerini okumak ve uyarılara yanıt vermeyi kapsar; sunucularda rastgele shell komutları ise bütünüyle başka bir sınıfa aittir. Ve bir uç noktada shell oluştuğunda, ele geçirmenin yerinde kalıp kalmayacağını ya da filoya yayılıp yayılmayacağını SSH kimlik bilgisinin ayrıcalığı belirler. dev.to yazısının önerdiği tasarım alışkanlığı genelleştirilebilir: her entegrasyon kimlik bilgisini, bir gün yanlış kişi tarafından kullanılacak bir şey olarak düşünün ve bu düşünce rahatsız ediciyse, entegrasyonun ayrıcalığı fazladır demektir. Yükseltme hatayı düzeltir; sınır incelemesi ise hatanın önemli olmasının nedenini ele alır.