Palo Alto Networks, Aktif Sömürü Altındaki PAN-OS Uzaktan Kod Yürütme Açığını Kapattı

Palo Alto Networks, PAN-OS yazılımını etkileyen yüksek önem dereceli bir uzaktan kod yürütme (RCE) açığına yönelik güvenlik güncellemelerini Çarşamba günü kullanıma sundu. CVE-2026-0322 olarak takip edilen ve CVSS puanı 8,6 olan bu açık, yönetim arayüzüne ağ erişimi olan kimlik doğrulamalı bir saldırganın güvenlik duvarı üzerinde root ayrıcalıklarıyla rastgele kod çalıştırmasına imkân tanıyor.
Şirketin açıklamasına göre açığın istismar edilmesi için herhangi bir özel yapılandırmaya gerek bulunmuyor. Bu durum, yönetim arayüzüne erişim yetkisi olan her kimlik doğrulamalı kullanıcının potansiyel bir tehdit unsuruna dönüşebileceği anlamına geliyor. Palo Alto Networks, riski azaltmak için yönetim arayüzüne erişimi yalnızca güvenilir iç IP adreslerine kısıtlamayı ve bu arayüze erişebilen tek sistem olarak yapılandırılmış bir jump box kullanmayı öneriyor.

Hangi Ürünler Etkileniyor?​

Açık, PA Serisi ve VM Serisi güvenlik duvarlarındaki PAN-OS yazılımını ve Panorama'yı (sanal ve M Serisi) etkiliyor. Cloud NGFW ile Prisma Access ürünleri bu açıktan etkilenmiyor.
Yamalar aşağıdaki PAN-OS sürümlerinde kullanıma sunuldu:

• PAN-OS 12.2.4 ve üzeri
• PAN-OS 12.1.4-h12, 12.1.7-h8, 12.1.10-h2 ve üzeri
• PAN-OS 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 ve üzeri; 11.2.16 sürümü için tahmini yayın tarihi 15 Ekim 2026
• PAN-OS 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15, 11.1.16-h3 ve üzeri
• PAN-OS 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11, 10.2.18-h12 ve üzeri

\n

Aktif İstismar ve Tespit Edilen IP Adresleri​

Palo Alto Networks, Palo Alto Networks yönetim arayüzünü hedef alan çok sınırlı düzeyde istismar girişimleri tespit ettiğini açıkladı. Şirket, bu kötü niyetli faaliyetin niteliği, arkasındaki aktörler veya ne zaman başladığı konusunda ek bilgi paylaşmadı. Açıklamada, ABD'de coğrafi konumlandırılan ve istismar girişimleriyle ilişkilendirildiği değerlendirilen üç IP adresi de kamuoyuyla paylaşıldı: 66.42.72[.]14, 208.83.239[.]114 ve 149.248.47[.]234.
Açığı keşfedip bildiren kişi olarak Palo Alto Networks'ün kıdemli baş ürün güvenliği araştırmacısı Suraj Siddharudh gösterildi.

Cisco'dan Eş Zamanlı Uyarı​

Bu açıklamanın gündeme geldiği dönemde Cisco da Cisco Secure Email Gateway'i etkileyen kritik bir güvenlik açığına ilişkin uyarı yayımladı. CVE-2026-76519 olarak takip edilen ve CVSS puanı 9,8 olan bu açık, kimlik doğrulaması gerektirmeksizin uzaktan çalışan bir saldırganın temel işletim sistemi üzerinde rastgele dosya yazmasına olanak tanıyor. Cisco'nun açıklamasına göre bu açık, dosya itibar hizmeti etkinleştirildiğinde e-posta eklerinin hatalı işlenmesinden kaynaklanıyor. Saldırgan, etkilenen bir cihaz üzerinden özel hazırlanmış bir ek içeren e-posta göndererek bu açığı istismar edebiliyor; başarılı bir saldırı, saldırgana temel işletim sistemi üzerinde root ayrıcalıklarıyla rastgele dosya yazma ve komut yürütme imkânı tanıyor.

CISA'nın Federal Kurumlar İçin Belirlediği Son Tarih​

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), her iki açığı da —CVE-2026-0322 ve CVE-2026-76519— Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Federal Sivil Yürütme Organı (FCEB) ajanslarının her iki açık için yamaları 17 Ekim 2026 tarihine kadar uygulaması zorunlu tutuluyor.

Sıkça Sorulan Sorular​

CVE-2026-0322 açığı tam olarak ne tür bir tehdit oluşturuyor?​

CVE-2026-0322, PAN-OS yazılımının yönetim arayüzündeki bir uzaktan kod yürütme açığıdır. Yönetim arayüzüne ağ erişimi olan kimlik doğrulamalı bir saldırganın güvenlik duvarı üzerinde root ayrıcalıklarıyla rastgele kod çalıştırmasına imkân tanır. Açığın istismar edilmesi için özel bir yapılandırmaya gerek yoktur.

Hangi Palo Alto Networks ürünleri bu açıktan etkileniyor?​

Açık, PA Serisi ve VM Serisi güvenlik duvarlarındaki PAN-OS yazılımını ve Panorama'yı (sanal ve M Serisi) etkiliyor. Cloud NGFW ve Prisma Access ürünleri bu açıktan etkilenmiyor.

Palo Alto Networks açığın aktif olarak istismar edildiğini doğruladı mı?​

Evet. Palo Alto Networks, yönetim arayüzünü hedef alan çok sınırlı düzeyde istismar girişimleri gözlemlediklerini açıkladı. Ancak şirket, faaliyetin niteliği, arkasındaki aktörler veya başlangıç tarihi hakkında ek ayrıntı paylaşmadı. ABD'de konumlandırılan üç IP adresi istismar girişimleriyle ilişkilendirildi.

Bu açığa karşı yama uygulanana kadar ne gibi önlemler alınabilir?​

Palo Alto Networks, yönetim arayüzüne erişimi yalnızca güvenilir iç IP adresleriyle kısıtlamayı öneriyor. Bunun yanı sıra yönetim arayüzüne erişebilen tek sistem olarak yapılandırılmış bir jump box kullanılmasını da tavsiye ediyor.

CISA'nın federal kurumlar için belirlediği yama son tarihi nedir?​

CISA, CVE-2026-0322 ve CVE-2026-76519 açıklarını Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekleyerek Federal Sivil Yürütme Organı ajanslarının her iki açık için yamaları 17 Ekim 2026 tarihine kadar uygulamasını zorunlu kıldı.