Cảnh báo khai thác lỗ hổng xác thực trên PAN-OS GlobalProtect VPN
"Palo Alto Networks reported active exploitation of CVE-2026-0257, an authentication bypass vulnerability in PAN-OS GlobalProtect portal and gateway components that can allow unauthorized VPN connections. The company said attacks were limited and observed starting May 17, 2026, with no post-access behavior or lateral movement identified; it also published IoCs and advised searching logs for matching gateway-connected events, while CISA had already added the flaw to its KEV catalog."
Lỗ hổng cho phép bỏ qua xác thực, dẫn đến kết nối VPN trái phép và tiềm ẩn nguy cơ truy cập trái phép vào hệ thống.
Có thể gây gián đoạn dịch vụ VPN, ảnh hưởng đến an ninh truy cập từ xa và yêu cầu cập nhật, rà soát hệ thống khẩn cấp.
Ngày 15/6/2026, một lỗ hổng xác thực có mã CVE-2026-0257 trên các thành phần GlobalProtect portal và gateway của PAN-OS đã bị ghi nhận khai thác thực tế. Lỗ hổng này cho phép đối tượng tấn công bỏ qua kiểm soát xác thực để thiết lập kết nối VPN trái phép. Hoạt động khai thác được phát hiện từ ngày 17/5/2026, chủ yếu ở phạm vi hạn chế, chưa ghi nhận hành vi leo thang đặc quyền hoặc di chuyển ngang sau khi truy cập.
Tổ chức vận hành hệ thống nên kiểm tra log GlobalProtect để phát hiện các sự kiện gateway-connected bất thường, đặc biệt với các giá trị cấu hình client như endpoint_os_version: Microsoft Windows 10 Pro 64-bit và source_user_info.domain: empty. Danh sách IoC gồm nhiều địa chỉ IP và tên thiết bị liên quan đã được công bố để hỗ trợ giám sát. Ngoài ra, CISA đã đưa lỗ hổng này vào danh mục KEV, yêu cầu các cơ quan liên bang Mỹ khắc phục trước ngày 1/6/2026.
Khuyến nghị các đơn vị sử dụng PAN-OS cập nhật bản vá mới nhất, tăng cường giám sát truy cập VPN, rà soát log và áp dụng các biện pháp phòng thủ chủ động nhằm giảm thiểu nguy cơ bị khai thác.