CVE-2026-0257: bypass di autenticazione in PAN-OS GlobalProtect, sfruttata attivamente

CVE-2026-0257: bypass di autenticazione in PAN-OS GlobalProtect, sfruttata attivamente

In breve

CVE-2026-0257 è una vulnerabilità di bypass dell'autenticazione nel portale e nel gateway GlobalProtect di PAN-OS, il sistema che gestisce i firewall e le VPN aziendali di Palo Alto Networks [1]. Un attaccante che la sfrutti può eludere i controlli di accesso e stabilire una connessione VPN non autorizzata verso la rete interna dell'azienda [1]. Ha un punteggio CVSS di 7.8, severità "alta" secondo NVD [1], pubblicata il 13 maggio 2026 [1], ed è presente nel catalogo delle vulnerabilità sfruttate attivamente (KEV) di CISA [2], il che conferma che il suo utilizzo reale da parte di attaccanti è già stato rilevato. Se la tua organizzazione utilizza GlobalProtect come accesso remoto, dovresti verificare oggi stesso la versione di PAN-OS in uso, applicare la patch del produttore e controllare i log delle connessioni VPN recenti alla ricerca di accessi anomali.

Cos'è e perché è importante

Una falla di "bypass dell'autenticazione" significa che il sistema che dovrebbe verificare l'identità di chi si connette può essere eluso, lasciando passare il traffico come se fosse legittimo [1]. In questo caso specifico, il problema riguarda il portale e il gateway di GlobalProtect, la soluzione VPN di Palo Alto Networks che molte aziende utilizzano per consentire ai propri dipendenti di connettersi in remoto alla rete aziendale [1]. Se un attaccante riesce a stabilire una connessione VPN non autorizzata, ottiene un punto d'appoggio all'interno del perimetro di rete, con lo stesso livello di fiducia di un dipendente legittimo connesso in remoto. È importante segnalare che, secondo la stessa descrizione del produttore, Panorama e Cloud NGFW non sono interessati da questo problema [1]; il focus riguarda il portale e il gateway di GlobalProtect.

Chi è interessato

Il vendor principale è Palo Alto Networks, nel suo prodotto PAN-OS con il modulo GlobalProtect (portale e gateway) [1]. La scheda di NVD associa anche Siemens come vendor collegato a questa CVE, ma senza specificare quale prodotto né con quale avviso proprio [1]; con le informazioni disponibili non è possibile confermare un'esposizione concreta nei prodotti Siemens, quindi non la trattiamo come un'azione da eseguire, ma solo come un dato da tenere presente se la tua azienda integra soluzioni di entrambi i produttori.

In pratica, sono potenzialmente esposte tutte le organizzazioni che utilizzano GlobalProtect come porta d'accesso VPN per dipendenti, fornitori o dispositivi remoti, specialmente se il portale è pubblicato direttamente su internet, che è l'uso abituale di questo tipo di soluzione.

Come sapere se sei vulnerabile

Il primo passo è identificare se la tua azienda ha un portale o gateway GlobalProtect esposto su internet e quale versione di PAN-OS esegue. Essendo un componente VPN, per progettazione è solitamente accessibile dall'esterno della rete aziendale, il che aumenta la finestra di esposizione finché non viene applicata la patch. Verificare quali servizi della tua organizzazione sono esposti verso internet — e con quale versione di software — è il punto di partenza prima di decidere le priorità di patching; se non disponi di questo inventario aggiornato, è la prima lacuna da colmare.

Come riferimento aggiuntivo, il nostro radar di intelligence OCIRIA classifica questa vulnerabilità nella categoria di autenticazione e accesso non autorizzato, e la segnala come di attenzione prioritaria per il suo ruolo nel perimetro di rete, in linea con la sua inclusione nel catalogo KEV di CISA [2].

Come proteggerti

• Individua tutte le istanze di PAN-OS con GlobalProtect (portale e gateway) nella tua infrastruttura e conferma la versione installata.
• Applica la patch di sicurezza pubblicata da Palo Alto Networks non appena disponibile per la tua versione; trattandosi di una vulnerabilità presente nel catalogo KEV, la priorità deve essere alta [2].
• Rivedi i log di connessione VPN delle ultime settimane alla ricerca di sessioni avviate da posizioni, orari o dispositivi insoliti.
• Se rilevi indizi di accesso non autorizzato, valuta la rotazione delle credenziali e la revisione dell'attività successiva di quelle sessioni all'interno della rete.
• Rafforza l'accesso VPN con autenticazione a più fattori laddove non sia ancora attiva, come livello aggiuntivo di difesa.
• Limita, per quanto possibile, quali risorse interne sono raggiungibili da una sessione VPN appena stabilita, per ridurre l'impatto nel caso in cui una connessione risulti fraudolenta.

Domande frequenti

Questa vulnerabilità viene sfruttata in questo momento?

Sì, CISA la include nel suo catalogo delle vulnerabilità sfruttate attivamente (KEV), il che indica uno sfruttamento confermato nel mondo reale [2].

Riguarda Panorama o Cloud NGFW?

No. La stessa descrizione tecnica indica espressamente che Panorama e Cloud NGFW non sono interessati da questo problema [1].

Quanto è grave secondo gli standard ufficiali?

NVD le assegna un CVSS di 7.8, classificato come severità "alta" [1]; la sua presenza nel catalogo KEV di CISA aumenta l'urgenza pratica di agire, indipendentemente dal punteggio [2].

Basta avere un firewall per essere protetti?

Non necessariamente: il problema risiede nella stessa autenticazione del componente VPN, quindi la mitigazione passa attraverso il patching di PAN-OS e la revisione degli accessi, non solo attraverso regole del firewall attive.

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-0257
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json