CVE-2026-0257 — Обход аутентификации PAN-OS GlobalProtect

PoC удаленного обнаружения

Только обнаружение. Без эксплуатации. Без отправки учетных данных. Без подделки куки.

---

Обзор

CVE-2026-0257 — это уязвимость обхода аутентификации (CWE-565 — Зависимость от куки без проверки и контроля целостности) в портале и шлюзе GlobalProtect PAN-OS от Palo Alto Networks. Если включены куки для переопределения аутентификации и существует определенная конфигурация сертификата, неаутентифицированный злоумышленник может обойти ограничения безопасности и установить несанкционированное VPN-соединение.

• Консультация: https://security.paloaltonetworks.com/CVE-2026-0257
• CVSS 4.0: 4.7 (СРЕДНИЙ) / Базовый: 7.8
• CWE: CWE-565
• Затронутые компоненты: GlobalProtect Portal, GlobalProtect Gateway
• Не затронуты: Panorama, Cloud NGFW

---

Затронутые версии

Ветвь	Уязвимая	Исправленная
PAN-OS 10.2	< 10.2.7-h34, < 10.2.10-h36, < 10.2.13-h21, < 10.2.16-h7, < 10.2.18-h6	См. консультацию
PAN-OS 11.1	< 11.1.4-h33, < 11.1.6-h32, < 11.1.7-h6, < 11.1.10-h25, < 11.1.13-h5, < 11.1.15	См. консультацию
PAN-OS 11.2	< 11.2.4-h17, < 11.2.7-h14, < 11.2.10-h7, < 11.2.12	См. консультацию
PAN-OS 12.1	< 12.1.4-h6, < 12.1.7	См. консультацию
Cloud NGFW	Не затронута	—
Panorama	Не затронута	—

---

Требуемая конфигурация для подверженности

Уязвимость применима только когда включены куки переопределения аутентификации на портале или шлюзе. Чтобы проверить:

Портал: Network → GlobalProtect → Portals → Agent → Agent Config → вкладка Authentication

• Отмечено "Generate cookie for authentication override" или "Accept cookie for authentication override"

Шлюз: Network → GlobalProtect → Gateways → Agent → Client Settings → вкладка Authentication Override

• Отмечено "Accept cookie for authentication override"

---

Этот инструмент

cve_2026_0257_check.py выполняет пассивное, только для чтения, удаленное обнаружение:

1. Обнаружение портала/шлюза GP — проверяет стандартные неаутентифицированные конечные точки на наличие GlobalProtect
2. Определение версии PAN-OS — считывает версию из заголовков Server, HTML страницы входа и XML-ответа /global-protect/portal/config.esp
3. Индикатор куки переопределения аутентификации — ищет поведенческие сигналы, указывающие на возможное включение куки-переопределения аутентификации
4. Проверка диапазона версий — сравнивает обнаруженную версию со всеми уязвимыми диапазонами, определенными в консультации

Что он НЕ делает

• Не отправляет учетные данные
• Не подделывает и не воспроизводит куки аутентификации
• Не пытается установить VPN-соединение
• Не записывает и не изменяет ничего на цели

---

Требования

• Python 3.8+
• Нет сторонних зависимостей (только стандартная библиотека)

---

Использование

# Single target (default port 443)
python3 cve_2026_0257_check.py vpn.example.com

# Custom port
python3 cve_2026_0257_check.py vpn.example.com:8443

# Multiple targets
python3 cve_2026_0257_check.py host1 host2 host3

# JSON output
python3 cve_2026_0257_check.py vpn.example.com --json

# Adjust timeout
python3 cve_2026_0257_check.py vpn.example.com --timeout 15

---

Вывод

============================================================
  Target  : vpn.example.com:443
  Verdict : LIKELY_VULNERABLE
============================================================
  GP Portal reachable  : True
  GP Gateway reachable : True
  PAN-OS version       : 11.2.7-h3
  Auth-cookie indicator: True
  Version vulnerable   : True

  Notes:
    • GlobalProtect portal page found at /global-protect/login.esp (HTTP 200)
    • GlobalProtect gateway endpoint present (HTTP 400)
    • Version from /global-protect/portal/config.esp: 11.2.7-h3
    • portal/config.esp returned HTTP 200 with body — may indicate auth-override cookie acceptance is enabled

  [!] Host appears to run a vulnerable PAN-OS version.
      Verify auth-override cookie config per the advisory:
      https://security.paloaltonetworks.com/CVE-2026-0257

Значения вердикта

Вердикт	Значение
LIKELY_VULNERABLE	GP доступен + версия в известном уязвимом диапазоне
LIKELY_PATCHED	GP доступен + версия исправлена
POSSIBLE_TARGET_VERSION_UNKNOWN	GP доступен, но версию не удалось прочитать
NOT_GP_TARGET	Не обнаружен портал или шлюз GlobalProtect

---

Устранение

Согласно официальной консультации:

1. Обновите до исправленной версии PAN-OS (см. таблицу выше)
2. Или используйте выделенный сертификат исключительно для куки переопределения аутентификации — не используйте повторно сертификат портала/шлюза
3. Или полностью отключите переопределение аутентификации, сняв соответствующие флажки в конфигурации портала и шлюза

После установки исправления пользователям потребуется повторно аутентифицироваться один раз, так как куки генерируются заново с использованием более безопасного метода.

---

Раскрытие

• Обнаружено: Внутренне Palo Alto Networks PSIRT
• Опубликовано: 2026-05-13
• Статус эксплуатации: На момент публикации неизвестна злонамеренная эксплуатация

---

Правовая информация

Этот инструмент предназначен для использования на системах, которые вам принадлежат или на тестирование которых у вас есть явное письменное разрешение. Несанкционированное использование против систем, которые вам не принадлежат, незаконно. Авторы не несут ответственности за неправильное использование.