Błąd w GlobalProtect (PAN-OS) pozwala połączyć się z firmowym VPN bez hasła, gdy włączone są ciasteczka Authentication Override. CISA potwierdza ataki, także ransomware. Sprawdź konfigurację i zaktualizuj zaporę dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które dają pracownikom zdalny dostęp przez zapory Palo Alto Networks (GlobalProtect). Werdykt: jeśli Twoja zapora działa na PAN-OS bez poprawki i ma włączone ciasteczka Authentication Override, zaktualizuj ją lub wyłącz tę opcję dziś, bo luka jest aktywnie wykorzystywana, także w atakach ransomware.
Amerykańska agencja CISA 29 maja 2026 roku dopisała podatność CVE-2026-0257 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy GlobalProtect, modułu zdalnego dostępu (VPN) w systemie PAN-OS działającym na zaporach Palo Alto Networks. Pozwala napastnikowi obejść logowanie i zestawić połączenie VPN z siecią firmy bez konta i hasła.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 1 czerwca 2026 roku, czyli ponad trzy i pół miesiąca temu. Jeśli Twoja firma jeszcze tego nie sprawdziła, jest to zaległość, a nie zadanie na przyszły kwartał.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-0257 |
Data dodania do CISA KEV | 2026-05-29 |
Termin naprawy wg CISA | 2026-06-01 (3 dni od wpisu) |
Produkt | Palo Alto Networks PAN-OS, moduł GlobalProtect (portal lub brama); także Prisma Access |
Wersje zagrożone | PAN-OS 12.1, 11.2, 11.1 i 10.2 sprzed wersji z poprawką (lista obok), ale tylko przy jednoczesnym spełnieniu trzech warunków: skonfigurowany portal lub brama GlobalProtect, włączone ciasteczka Authentication Override i określona konfiguracja certyfikatu. Panorama i Cloud NGFW nie są podatne |
Wersje bezpieczne | 12.1: 12.1.4-h6, 12.1.7 i nowsze. 11.2: 11.2.4-h17, 11.2.7-h14, 11.2.10-h7, 11.2.12 i nowsze. 11.1: 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5, 11.1.15 i nowsze. 10.2: 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7, 10.2.18-h6 i nowsze. Prisma Access: 10.2.10-h36 oraz 11.2.7-h13 |
Typ podatności | Obejście uwierzytelnienia; CWE-565 (poleganie na ciasteczkach bez weryfikacji i kontroli spójności) |
Ocena CVSS | NVD: 9.1 (CVSS 3.1, KRYTYCZNA). Producent: 7.8 (CVSS 4.0, WYSOKA, pilność producenta: najwyższa). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie biurowiec, w którym pracownicy noszą plastikowe identyfikatory. Żeby nie kazać im co rano podpisywać się w recepcji, firma ustaliła, że ochroniarz wpuszcza każdego z kartą. Problem polega na tym, że ochroniarz patrzy tylko, czy karta ma właściwy kolor i logo, a nie sprawdza w systemie, czy jej numer istnieje. Kto wydrukuje podobną kartę, wchodzi jak swój i nikt nie odnotowuje nieudanej próby wejścia, bo takiej nie było.
Tak działała opcja Authentication Override w GlobalProtect. Po pierwszym poprawnym logowaniu zapora wystawia laptopowi ciasteczko, dzięki któremu kolejne połączenia VPN idą bez pytania o hasło i drugi składnik logowania. Przy opisanej konfiguracji zapora nie sprawdzała dostatecznie, czy ciasteczko jest prawdziwe. Od chwili włączenia tej opcji to ciasteczko, a nie hasło, jest realnym dowodem tożsamości.
💡 Ciasteczko (cookie) to mały plik, który serwer przekazuje urządzeniu, żeby je później rozpoznać. Authentication Override to opcja GlobalProtect, która na pewien czas zastępuje logowanie takim ciasteczkiem. VPN to szyfrowany tunel, przez który pracownik spoza biura pracuje tak, jakby siedział w firmowej sieci. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik łączy się z hotelu | Loguje się hasłem i drugim składnikiem albo używa prawdziwego ciasteczka | Tak samo, nic nie zauważa |
Obca osoba próbuje połączyć się z VPN | Zostaje odrzucona, próba trafia do logów jako nieudane logowanie | Przy spełnionych warunkach może zestawić połączenie bez hasła |
Dział IT przegląda nieudane logowania | Widzi próby włamania | Nie widzi nic, bo nieudanego logowania nie było |
Uwierzytelnianie wieloskładnikowe (MFA) | Chroni przed skradzionym hasłem | Nie pomaga, bo ciasteczko pomija etap logowania |
Dostęp do sieci wewnętrznej | Tylko dla uprawnionych pracowników | Napastnik trafia do tej samej sieci co pracownicy |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Portale GlobalProtect są z założenia dostępne z internetu, więc atak nie wymaga wcześniejszego dostępu do firmy, ale uda się tylko na zaporze spełniającej trzy warunki z sekcji 1. CISA ocenia, że ataku nie da się w pełni zautomatyzować, więc jest to raczej praca ręczna na wybranych celach niż masowe skanowanie z automatycznym przejęciem.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie w internecie portali i bram GlobalProtect oraz ustalanie wersji PAN-OS | Lista potencjalnych celów |
2. Przygotowanie ciasteczka | T+kilkadziesiąt minut do kilku godzin | Wytworzenie ciasteczka, które podatna zapora przyjmie jako dowód wcześniejszego logowania | Gotowa „podrobiona karta wstępu” |
3. Wejście | T+kilka godzin | Zestawienie połączenia VPN bez konta i hasła | Napastnik w sieci wewnętrznej, bez śladu nieudanego logowania |
4. Rozpoznanie sieci | T+1 do 3 dni | Przegląd serwerów, udziałów plikowych, kont i kopii zapasowych | Mapa najcenniejszych zasobów |
5. Utrwalenie i kradzież | T+3 do 14 dni | Założenie własnych dróg powrotu, kopiowanie danych | Dane klientów i firmy poza organizacją |
6. Szantaż | T+1 do 4 tygodni | Szyfrowanie danych (ransomware) i żądanie okupu, często z groźbą publikacji | Przestój i żądanie zapłaty |
VPN to główne wejście do firmowej sieci. Obejście logowania na tym wejściu oznacza, że wszystkie zabezpieczenia oparte na haśle i MFA przestają mieć znaczenie dla tej jednej drogi. Najgroźniejsza jest cisza: nie ma alarmów o błędnych hasłach ani zablokowanych kont.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery, zatrzymana sprzedaż, magazyn i księgowość | Dni do tygodni od wejścia | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych klientów, umów, dokumentów kadrowych | Dni od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty nadgodzin i zewnętrznych specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania w przetargach i od ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z włączonym Authentication Override
i PAN-OS bez poprawki
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla firm spełniających trzy warunki ryzyko jest wysokie (potwierdzone ataki, ransomware, wejście bez hasła do sieci), a nie maksymalne tylko dlatego, że producent mówi o ograniczonych próbach i atak wymaga określonej konfiguracji; firma bez włączonego Authentication Override jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję PAN-OS i czy w portalu lub bramie GlobalProtect włączone jest generowanie albo przyjmowanie ciasteczek Authentication Override | Dziś | Administrator zapory |
2 | 🔴 NATYCHMIAST | Jeśli opcja jest włączona, a poprawki nie ma: wyłączyć Authentication Override albo przypisać mu osobny, nowy certyfikat używany tylko do tych ciasteczek | Dziś | Administrator zapory |
3 | 🟠 PILNIE | Zaktualizować PAN-OS do wersji z poprawką dla swojej gałęzi, wszystkie elementy GlobalProtect naraz | Do 3 dni | Administrator zapory / partner IT |
4 | 🟠 PILNIE | Uprzedzić pracowników, że po aktualizacji każdy musi jednorazowo zalogować się ponownie do VPN | Przed aktualizacją | Kierownik IT |
5 | 🟠 PILNIE | Przejrzeć logi połączeń GlobalProtect od maja 2026 roku pod kątem sesji, których nie da się przypisać do pracownika | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Włączyć przechowywanie logów VPN przez co najmniej kilka miesięcy i comiesięczny przegląd aktywnych połączeń | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Sprawdzić, czy kopie zapasowe są odseparowane od sieci dostępnej przez VPN | Do 30 dni | CTO / administrator |
Producent wydał poprawki dla wszystkich utrzymywanych gałęzi PAN-OS oraz Prisma Access, więc docelowo trzeba je wgrać. Do czasu okna serwisowego producent wskazuje dwa obejścia. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie Authentication Override w portalu i bramie (zalecenie producenta) | Wysoka: usuwa jeden z trzech warunków ataku | Łatwa, ale pracownicy znów logują się przy każdym połączeniu |
Osobny, nowy certyfikat tylko do ciasteczek Authentication Override, nieużywany nigdzie indziej (zalecenie producenta) | Wysoka, pod warunkiem że certyfikat jest faktycznie nowy, a nie przeniesiony z innej usługi | Średnia: wymaga wystawienia certyfikatu i zmiany konfiguracji |
Ograniczenie dostępu do portalu GlobalProtect do znanych krajów lub adresów | Średnia: zmniejsza grono napastników, nie usuwa luki | Średnia: ryzyko odcięcia pracowników w podróży |
Codzienny przegląd logów połączeń VPN | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wejście do VPN | Możliwe bez hasła przy spełnionych warunkach | Wymaga prawidłowego logowania lub prawidłowego ciasteczka |
Rola MFA | Omijana przez podrobione ciasteczko | Znów realnie chroni dostęp |
Wygoda pracowników | Rzadkie logowanie | Jednorazowe ponowne logowanie po aktualizacji, potem jak dawniej (lub częstsze logowanie, jeśli opcję wyłączono) |
Widoczność incydentów | Brak śladu nieudanych prób | Przejrzane logi i wiedza, czy ktoś już wszedł |
Zgodność z wymogami | Zaległość wobec terminu CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) sprzed ponad 3 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Producent pisze o ograniczonych próbach wykorzystania na urządzeniach bez poprawek i bez obejść |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 9.1 KRYTYCZNA wg NVD (CVSS 3.1); 7.8 WYSOKA wg producenta (CVSS 4.0) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji; producent mówi o „ograniczonych próbach” |
Kto wykrył błąd | Wewnętrzne zespoły bezpieczeństwa Palo Alto Networks |
Prognoza EPSS | Blisko 94% szansy próby wykorzystania w ciągu miesiąca, górny promil wszystkich podatności (wg analizy źródłowej) |
Dwie oceny CVSS różnią się, bo pochodzą z dwóch wersji metodologii i inaczej ujmują zasięg skutków. Dla decyzji biznesowej ważniejsze jest to, że wszystkie sygnały o realnym zagrożeniu wskazują w tę samą stronę:
Sygnały zagrożenia dla CVE-2026-0257
CVSS 3.1 (NVD) 9.1/10 ██████████████████░░ KRYTYCZNA
CVSS 4.0 (producent) 7.8/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~94% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana 2026-05-13 Producent publikuje biuletyn CVE-2026-0257 (NVD: ta sama data)
2026-05-28 CISA ocenia wykorzystanie jako aktywne
2026-05-29 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-06-01 Termin naprawy wg CISA dla agencji federalnych
2026-06-03 Ostatnia aktualizacja biuletynu producenta
2026-06-17 Ostatnia aktualizacja wpisu w NVD (analiza zakończona)
... ponad 3,5 miesiąca od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z wersjami i obejściami: security.paloaltonetworks.com/CVE-2026-0257 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-0257 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa zapór Palo Alto z GlobalProtect (także u partnera IT lub w Prisma Access) | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja PAN-OS i stan opcji Authentication Override | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie Authentication Override lub nowy certyfikat, jeśli poprawki nie ma | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację i komunikat do pracowników o ponownym logowaniu | CTO | DO JUTRA |
5 | Zlecić przegląd logów VPN od maja 2026 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na ewentualną analizę powłamaniową, jeśli przegląd logów coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów i nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na jakiej wersji PAN-OS działają nasze zapory z GlobalProtect? | [wersja] | 🔴 |
2 | Czy w portalu lub bramie włączone jest generowanie albo przyjmowanie ciasteczek Authentication Override? | TAK / NIE | 🔴 |
3 | Jeśli opcja była włączona, jakiego certyfikatu używała i czy był współdzielony z portalem, bramą lub inną usługą? | [odpowiedź] | 🔴 |
4 | Czy wszystkie elementy GlobalProtect zostały zaktualizowane razem, a pracownicy uprzedzeni o ponownym logowaniu? | TAK / NIE | 🟠 |
5 | Czy mamy logi połączeń VPN od maja 2026 roku i czy ktoś je przejrzał? | TAK / NIE | 🟠 |
6 | Czy korzystamy z Prisma Access lub układu mieszanego (chmura i zapory w biurze)? | TAK / NIE | 🟠 |
7 | Jakie zasoby są dostępne po zestawieniu VPN i czy kopie zapasowe są od nich odseparowane? | [odpowiedź] | 🟡 |
CVE-2026-0257 pozwala wejść do firmowej sieci przez VPN GlobalProtect bez hasła, jeśli zapora PAN-OS nie ma poprawki, a opcja Authentication Override jest włączona z podatną konfiguracją certyfikatu. CISA potwierdza ataki, także ransomware, a termin naprawy minął 1 czerwca 2026 roku, więc sprawdzenie konfiguracji i aktualizacja to zadanie na dziś, a przegląd logów na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.