CVE-2026-0257 — Bypass de Autenticação do GlobalProtect PAN-OS

Prova de Conceito de Detecção Remota

Apenas detecção. Sem exploração. Nenhuma credencial enviada. Nenhum cookie forjado.

Visão Geral

CVE-2026-0257 é uma vulnerabilidade de bypass de autenticação (CWE-565 — Confiança em Cookies sem Validação e Verificação de Integridade) no portal e gateway GlobalProtect do PAN-OS da Palo Alto Networks. Quando cookies de substituição de autenticação estão habilitados e existe uma configuração de certificado específica, um atacante não autenticado pode contornar as restrições de segurança e estabelecer uma conexão VPN não autorizada.

• Advisory: https://security.paloaltonetworks.com/CVE-2026-0257
• CVSS 4.0: 4.7 (MÉDIO) / Base: 7.8
• CWE: CWE-565
• Componentes afetados: Portal GlobalProtect, Gateway GlobalProtect
• Não afetados: Panorama, Cloud NGFW

Versões Afetadas

Configuração Necessária para Exposição

A vulnerabilidade só se aplica quando cookies de substituição de autenticação estão habilitados no portal ou gateway. Para verificar:

Portal: Rede → GlobalProtect → Portais → Agente → Configuração do Agente → aba Autenticação

• "Gerar cookie para substituição de autenticação" ou "Aceitar cookie para substituição de autenticação" está marcado

Gateway: Rede → GlobalProtect → Gateways → Agente → Configurações do Cliente → aba Substituição de Autenticação

• "Aceitar cookie para substituição de autenticação" está marcado

Esta Ferramenta

cve_2026_0257_check.py realiza detecção remota passiva, somente leitura:

1. Detecção de portal/gateway GP — verifica endpoints padrão não autenticados para presença do GlobalProtect
2. Identificação da versão do PAN-OS — lê a versão dos cabeçalhos do servidor, HTML da página de login e a resposta XML /global-protect/portal/config.esp
3. Indicador de cookie de substituição de autenticação — procura sinais comportamentais de que a substituição de autenticação baseada em cookie pode estar habilitada
4. Verificação de faixa de versão — compara a versão detectada com todas as faixas vulneráveis definidas no advisory

O que NÃO faz

• Não envia credenciais
• Não forja ou reproduz cookies de autenticação
• Não tenta estabelecer uma conexão VPN
• Não escreve ou modifica nada no alvo

Requisitos

• Python 3.8+
• Sem dependências de terceiros (apenas stdlib)

Uso

# Alvo único (porta padrão 443)
python3 cve_2026_0257_check.py vpn.example.com

# Porta personalizada
python3 cve_2026_0257_check.py vpn.example.com:8443

# Múltiplos alvos
python3 cve_2026_0257_check.py host1 host2 host3

# Saída JSON
python3 cve_2026_0257_check.py vpn.example.com --json

# Ajustar timeout
python3 cve_2026_0257_check.py vpn.example.com --timeout 15

Saída

============================================================
  Alvo    : vpn.example.com:443
  Verdicto : PROVAVELMENTE_VULNERAVEL
============================================================
  Portal GP acessível   : True
  Gateway GP acessível  : True
  Versão PAN-OS         : 11.2.7-h3
  Indicador de auth-cookie: True
  Versão vulnerável     : True

  Notas:
    • Página do portal GlobalProtect encontrada em /global-protect/login.esp (HTTP 200)
    • Endpoint do gateway GlobalProtect presente (HTTP 400)
    • Versão de /global-protect/portal/config.esp: 11.2.7-h3
    • portal/config.esp retornou HTTP 200 com corpo — pode indicar que a aceitação de cookie de substituição de autenticação está habilitada

  [!] O host parece executar uma versão vulnerável do PAN-OS.
      Verifique a configuração do cookie de substituição de autenticação conforme o advisory:
      https://security.paloaltonetworks.com/CVE-2026-0257

Valores do veredito

Remediação

Conforme o advisory oficial:

1. Atualize para uma versão corrigida do PAN-OS (veja a tabela acima)
2. Ou use um certificado dedicado exclusivamente para cookies de substituição de autenticação — não reutilize o certificado do portal/gateway
3. Ou desabilite a substituição de autenticação completamente, desmarcando as opções relevantes na configuração do portal e gateway

Após a correção, os usuários precisarão se autenticar novamente uma vez, pois o cookie é regenerado usando um método mais seguro.

Divulgação

• Descoberto: Internamente pelo PSIRT da Palo Alto Networks
• Publicado: 2026-05-13
• Status de exploração: Nenhuma exploração maliciosa conhecida até a data da publicação

Legal

Esta ferramenta é destinada ao uso em sistemas que você possui ou para os quais possui autorização explícita por escrito para testar. O uso não autorizado contra sistemas que você não possui é ilegal. Os autores não assumem nenhuma responsabilidade por uso indevido.