Palo Alto Networks heeft een reeks kwetsbaarheden in PAN-OS gedicht die PA‑Series en VM‑Series firewalls én Panorama raken. Het gaat om fouten in uiteenlopende modules, van webinterfaces tot VPN‑functionaliteit. Updates zijn per 8 juli 2026 beschikbaar in de jongste maintenance‑releases. (security.paloaltonetworks.com)

Wat is er precies aangepakt

• Cross‑site scripting (XSS) in meerdere onderdelen: de User‑ID Authentication Portal (ook bekend als Captive Portal), de GlobalProtect gateway/portal en Clientless VPN. Hiermee kan een ongeauthenticeerde aanvaller JavaScript uitvoeren in de browser van een beheerder of gebruiker. (security.paloaltonetworks.com)
• Een fout in de verwerking van IPv6‑pakketten die firewall policies kan omzeilen en zo toch verkeer naar normaal afgeschermde diensten doorlaat. (security.paloaltonetworks.com)
• Informatielek in de management‑webinterface waardoor sessietokens buitgemaakt kunnen worden via een kwaadaardige link (zonder inlog). (security.paloaltonetworks.com)
• Mogelijkheid om via de management‑webinterface bestanden uit een tijdelijke map te verwijderen. Dat kan log‑ en configuratiebestanden raken en zo incidentonderzoek bemoeilijken. (security.paloaltonetworks.com)
• Fouten in Large Scale VPN (LSVPN): een authenticatie‑omzeiling waarmee onbevoegden een site‑to‑site VPN kunnen opzetten, en een XML‑injectie die tot datalek of datacorruptie kan leiden. (security.paloaltonetworks.com)
• Een server‑side request forgery (SSRF) in de management‑webinterface waarmee geauthenticeerde beheerders ongeautoriseerde verzoeken naar interne services kunnen sturen. (security.paloaltonetworks.com)
• Command‑injection in de management‑plane die een geauthenticeerde beheerder root‑toegang op het onderliggende besturingssysteem kan geven. (security.paloaltonetworks.com)
• Meerdere denial‑of‑service (DoS) scenario’s waardoor een ongeauthenticeerde aanvaller de firewall in maintenance‑modus kan dwingen en zo de normale werking verstoort. (security.paloaltonetworks.com)
• Buffer overflows in de User‑ID Terminal Server Agent met kans op DoS of zelfs remote code execution. (security.paloaltonetworks.com)

Wat betekent dit in de praktijk

• Aanvalsoppervlak: veel van deze issues misbruiken precies die plekken waar beheer of authenticatie plaatsvindt (management‑UI, portals, VPN‑inlog). Juist daar is impact groot: van sessie‑overname en policy‑bypass tot beheer op root‑niveau. (security.paloaltonetworks.com)
• Niet getroffen: Cloud NGFW en Prisma Access worden door de fabrikant voor deze reeks niet geraakt. Toch blijft het advies om release notes per tenant te controleren. (nvd.nist.gov)

Actuele context

• De afgelopen maanden waren PAN‑OS‑diensten geregeld doelwit. Zo werd in mei 2026 een kritieke buffer‑overflow in de User‑ID Authentication Portal (CVE‑2026‑0300) al in het wild misbruikt; systemen met publiek toegankelijke portals liepen het meeste risico. (cert.europa.eu)
• Kort daarop meldde Rapid7 actief misbruik van een authenticatie‑omzeiling in GlobalProtect (CVE‑2026‑0257), waarvoor Palo Alto vanaf 15 mei gefaseerd patches uitrolde. (security.paloaltonetworks.com)

Aanbevolen acties (korte checklist)

• Patch nu: update naar de nieuwste onderhoudsrelease in jouw tak. Voorbeelden van vaste versies die bij de juli‑ronde worden genoemd zijn o.a. 12.1.8, 11.2.13, 11.1.16 en 10.2.18‑h8 (check de exacte match voor jouw omgeving). (security.paloaltonetworks.com)
• Sluit je management‑interface af: alleen toegankelijk vanaf vertrouwde interne IP‑adressen of een dedicated management‑netwerk/VPN. Dit beperkt de kans op misbruik van infolekkage, SSRF en command‑injection fors. (security.paloaltonetworks.com)
• Minimaliseer blootstelling: houd de User‑ID Authentication Portal en GlobalProtect‑portals van het publieke internet, of beperk met IP‑allowlists, MFA en geo‑/rate‑limiting. (techradar.com)
• Herzie LSVPN‑configuraties: controleer of ongeautoriseerde satelliethoppers onmogelijk zijn en update direct naar een gefixte versie. (security.paloaltonetworks.com)
• Update agents: breng de User‑ID Terminal Server Agent naar de nieuwste release en monitor op crashes of onverklaarde CPU‑pieken. (security.paloaltonetworks.com)
• Log en detecteer: zoek in je logs naar onverwachte management‑logins, token‑fouten en herhaalde 404/500‑patronen op portals; stel alerts in op policy‑hits die IPv6‑verkeer ten onrechte doorlaten. (security.paloaltonetworks.com)

Tot slot
Deze fixes sluiten aan bij een breder patroon: aanvallers mikken steeds vaker op randapparatuur en beheerportalen. Wie snel patcht, beheerinterfaces isoleert en alleen noodzakelijke services publiceert, reduceert het risico het sterkst. (techradar.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.