---

📌 نظرة عامة

CVE-2026-0257 هي ثغرة تجاوز مصادقة تؤثر على مكوّني بوابة GlobalProtect وبوابته في برنامج PAN-OS من Palo Alto Networks.

يمكن لمهاجم عن بُعد غير مُصادَق عليه تجاوز القيود الأمنية وإنشاء اتصال VPN غير مُصرَّح به بجدران الحماية المتأثرة.

ملاحظة: Panorama وCloud NGFW غير متأثرين.

---

⚠️ الخطورة والتقييم

المقياس	الدرجة	التصنيف
CVSS v4.0	7.8 / 4.7	عالية / متوسطة
CVSS v3.x	حتى 9.8	حرجة
الإلحاح	الأعلى	-

المتجه (مثال CVSS 4.0):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

---

📖 الوصف

تسمح ثغرات تجاوز المصادقة في بوابة GlobalProtect وبوابته في برنامج PAN-OS® من Palo Alto Networks للمهاجم بتجاوز القيود الأمنية وإنشاء اتصال VPN غير مُصرَّح به.

تنبع المشكلة من CWE-565: الاعتماد على ملفات تعريف الارتباط دون التحقق من صحتها وسلامتها.

---

🛠 المنتجات المتأثرة

• إصدارات PAN-OS السابقة للإصدارات المُصلَحة (10.2، 11.1، 11.2، 12.1)
• Prisma Access (إصدارات محددة)
• جدران الحماية التي تم فيها تهيئة بوابة GlobalProtect أو بوابته

غير المتأثرة:

• Panorama
• Cloud NGFW

---

🔍 التهيئة القابلة للاستغلال

تتطلب هذه الثغرة التهيئة التالية لتكون قابلة للاستغلال:

1. تم تهيئة بوابة GlobalProtect أو بوابتها
2. تم تمكين ملفات تعريف الارتباط لتجاوز المصادقة
3. تمت إعادة استخدام شهادة تشفير/فك تشفير ملف تعريف الارتباط لتجاوز المصادقة مع ميزة أخرى

---

💥 التأثير

• وصول VPN غير مُصرَّح به إلى الشبكات الداخلية
• احتمال تحرك المهاجمين جانبيًا داخل الشبكة
• تجاوز المصادقة متعددة العوامل (في إعدادات معينة)
• خطر كبير على محيط المؤسسات

تأثير عالٍ على سرية وسلامة الشبكات المحمية.

---

🔥 حالة الاستغلال

• يُستغَل فعليًا في البرية (اعتبارًا من 17 مايو 2026)
• رصدت Rapid7 استغلالًا ناجحًا
• أكدت Palo Alto Networks محاولات استغلال محدودة
• أُضيفت إلى كتالوج الثغرات المعروفة المُستغَلة (KEV) الخاص بـ CISA في 29 مايو 2026

---

⚙️ الاستخدام:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ المخرجات الناجحة المتوقعة:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ التصحيحات والإصلاحات

الإصدارات المُصلحة (طبّقها بشكل عاجل):

إصدار PAN-OS	الإصدار المُصلح
12.1	≥ 12.1.4-h6، ≥ 12.1.7
11.2	≥ 11.2.4-h17، ≥ 11.2.7-h14، إلخ.
11.1	≥ 11.1.4-h33، ≥ 11.1.7-h6، إلخ.
10.2	≥ 10.2.7-h34، ≥ 10.2.10-h36، إلخ.

Prisma Access لديها أيضًا إصدارات مُصلحة مقابلة.

---

🛡️ التخفيفات

حلول مؤقتة فورية (إذا لم يكن التصحيح ممكنًا):

• عطّل ملفات تعريف الارتباط لتجاوز المصادقة (authentication override cookies) إذا لم تكن مطلوبة
• تجنّب إعادة استخدام الشهادات لتجاوز مصادقة GlobalProtect
• راقب سجلات GlobalProtect بحثًا عن اتصالات VPN مشبوهة
• قيّد الوصول الإداري وفعّل سياسات أمنية صارمة

---

🔗 المراجع

• Official Palo Alto Networks Advisory
• NVD Detail
• Rapid7 Analysis
• CISA KEV Catalog

---

📅 الجدول الزمني

التاريخ	الحدث
2026-05-13	نشر CVE + الإشعار الأولي
2026-05-17	رصد الاستغلال في البرية
2026-05-29	تحديث Palo Alto + إضافة CISA KEV
2026-05-30	هذا التقرير

---