מי שנכנס לרשת לא הגיע עם סיסמה גנובה. הוא הוריד את שרשרת התעודות של שרת ה-GlobalProtect, הרכיב cookie שאומר מי הוא, הצפין אותו במפתח הציבורי שהיה שם, והשרת פתח לו session VPN. זאת CVE-2026-0257, בציון 9.1, וב-9 באוקטובר דיווחה ReliaQuest ששתי קבוצות כופרה עוד חיות ממנה חמישה חודשים אחרי התיקון.

סקירה כללית

GlobalProtect הוא רכיב ה-VPN של חומות האש של פאלו אלטו, והחולשה אינה בסיסמה אלא במנגנון שחוסך אותה. כשהאפשרות authentication override דולקת, השרת מנפיק למשתמש cookie שמעיד על זהותו ומצפין אותו בתעודה שהארגון בוחר, כך שחיבור חוזר נפתח בלי פרטי אימות.

כאן נכנס לתמונה התנאי שקובע מי באמת חשוף: אם אותה תעודה מגישה גם את ה-HTTPS של ה-portal או ה-gateway, המפתח הציבורי שלה פתוח לכל מי שטוען את העמוד. פאלו אלטו מדגישה שהאפשרות אינה דולקת כברירת מחדל, ורוב ההתקנות אינן עומדות בשני התנאים.

מזהה: CVE-2026-0257
סוג: הסתמכות על cookie בלי בדיקת שלמות (CWE-565)
מוצר: GlobalProtect ב-PAN-OS וב-Prisma Access
גרסאות מושפעות: ענפי PAN-OS 10.2, 11.1, 11.2 ו-12.1 מתחת לגרסאות התיקון, ו-Prisma Access 10.2.0 ו-11.2.0
גרסה מתוקנת: 10.2.18-h6, 11.1.15, 11.2.12 ו-12.1.7 ומעלה, ובענפים ישנים יותר לפי הודעת היצרן
ניצול בפועל: כן, בקטלוג ה-KEV של CISA מ-29 במאי 2026, מסומן שם כמשמש בכופרה

ציר זמן

13 במאי 2026: פאלו אלטו מפרסמת את ההודעה, והרשומה עולה ל-NVD
17 במאי 2026: Rapid7 מתעדת את ניסיון הניצול הראשון שראתה
29 במאי 2026: החולשה נכנסת לקטלוג ה-KEV, עם מועד תיקון 1 ביוני לגופים פדרליים
9 באוקטובר 2026: ReliaQuest מדווחת ש-Qilin ו-Settra פותחות דרכה חיבורי VPN

איך הניצול עובד

ה-gateway מפענח את ה-cookie במפתח הפרטי שלו, קורא ממנו את שם המשתמש, הדומיין ומזהה המכשיר, ומאמין לכל זה. חתימה הוא לא מחפש. אבל הצפנה אינה חתימה: היא מוכיחה שמי שהרכיב את ה-cookie החזיק את המפתח הציבורי, לא שהשרת הנפיק אותו. לסוג החולשה הזה קוראים CWE-565.

התנאי של התעודה המשותפת הוא כל הסיפור: התוקף מוריד את שרשרת התעודות, בונה cookie עם שם משתמש שהוא בוחר, מצפין באותו מפתח ציבורי ושולח. ב-Rapid7 מספרים שבמעבדה שלהם ה-cookie נקלט דווקא במפתח של תעודת ה-CA, לא של תעודת השרת, ושביומנים זה נראה כבקשת POST שגרתית ל-/ssl-vpn/getconfig.esp. משם, לפי ReliaQuest, ממשיכים ל-Cobalt Strike, BloodHound ו-SharpHound. (Qilin היא הקבוצה שאחד מחברי הליבה שלה הוסגר לגרמניה.)

ניתוח ציון ה-CVSS

ציון CVSS: 9.1

כך NVD מדרגת אותה ב-CVSS 3.1, בלי דרישת אימות ובלי לחיצה של אף אחד. פאלו אלטו מפרסמת 7.8 בגרסה 4.0 של אותו תקן, שמפרידה בין הנזק במכשיר עצמו לבין הנזק במה שנפתח מאחוריו, ונושאת סימון שהחולשה מנוצלת בשטח.

איפה למצוא Proof of Concept (PoC)

ריפו PoC פומבי אין. הניתוח המפורט הוא של Rapid7, שמתארת את הסקריפט שבנתה לבדיקת cookie מזויף מול כל תעודה בשרשרת, ומפרסמת גם כתובות IP של התוקפים.

מי שמעדכן עכשיו צריך עוד דבר: לנתק את כל ה-session-ים הפעילים של GlobalProtect, כי cookie שנקלט לפני התיקון פתח מנהרה שהעדכון לבדו לא סוגר.