14/11/2026
Thấp Firewall & VPN
Đọc khoảng 3 phút

Palo Alto PAN-OS: vá CVE-2026-0325 vượt qua giới hạn địa chỉ IP

CVE-2026-0325 PAN-OS

Palo Alto Networks cảnh báo CVE-2026-0325 trong GlobalProtect gateway của PAN-OS: người có thông tin đăng nhập hợp lệ có thể vượt qua giới hạn IP và kiểm soát truy cập dựa trên IP nguồn. Kiểm tra cấu hình gateway và nâng cấp lên phiên bản đã vá tương ứng.

Palo Alto PAN-OS: vá CVE-2026-0325 vượt qua giới hạn địa chỉ IP

Tóm tắt nhanh

  • CVE-2026-0325 cho phép vượt qua giới hạn IP trong GlobalProtect gateway của PAN-OS.
  • Ảnh hưởng khi PAN-OS có cấu hình GlobalProtect gateway; cần thông tin đăng nhập hợp lệ.
  • Palo Alto Networks đánh giá LOW; hãng chưa biết có hoạt động khai thác độc hại.
  • Kiểm tra cấu hình và nâng cấp lên phiên bản đã vá tương ứng.
Nội dung bài viết

Palo Alto Networks công bố CVE-2026-0325 trong GlobalProtect gateway, thành phần PAN-OS cung cấp dịch vụ truy cập mạng từ xa. Lỗ hổng có thể cho phép người dùng đã xác thực vượt qua giới hạn IP và các kiểm soát truy cập dựa trên lọc IP nguồn. Xem advisory của Palo Alto Networks.

Tổng quan và thông tin kỹ thuật

Đây là lỗ hổng authorization bypass được định danh là CVE-2026-0325. Hãng ghi nhận nguyên nhân thuộc CWE-940, liên quan đến việc xác minh không đúng nguồn của kênh giao tiếp.

Thông tinChi tiết
Sản phẩmPAN-OS GlobalProtect gateway
CVECVE-2026-0325
CWECWE-940 (Improper Verification of Source of a Communication Channel)
CVSSCVSS-BT 1.3 (LOW); CVSS-B 5.3
Exploit MaturityUNREPORTED

Phạm vi ảnh hưởng

Lỗ hổng áp dụng khi tường lửa PAN-OS có bật GlobalProtect gateway. Cloud NGFW không bị ảnh hưởng. Các mốc phiên bản bị ảnh hưởng và đã vá tương ứng:

Sản phẩm/nhánhPhiên bản bị ảnh hưởngPhiên bản đã vá
PAN-OS 12.2< 12.2.4-h212.2.4-h2 hoặc mới hơn
PAN-OS 12.1< 12.1.10-h412.1.10-h4 hoặc mới hơn
PAN-OS 11.2< 11.2.16-h211.2.16-h2 hoặc mới hơn
PAN-OS 11.1< 11.1.16-h511.1.16-h5 hoặc mới hơn
Prisma Access 12.1< 12.1.10-h412.1.10-h4 hoặc mới hơn
Prisma Access 11.2Tất cả phiên bản12.1.10-h4 hoặc mới hơn
PAN-OS cũ hơn, không còn được hỗ trợCác phiên bản không còn được hỗ trợNâng cấp lên phiên bản được hỗ trợ đã vá

Cơ chế và tác động

Kẻ tấn công cần xác thực bằng thông tin đăng nhập GlobalProtect hợp lệ và thực hiện tấn công qua mạng; yêu cầu quyền được đánh giá là thấp. Khi điều kiện cấu hình áp dụng, kẻ tấn công có thể vượt qua giới hạn địa chỉ IP và các kiểm soát truy cập mạng dựa trên lọc IP nguồn.

Tình trạng khai thác

Exploit Maturity được ghi là UNREPORTED. Palo Alto Networks cho biết hãng không biết có hoạt động khai thác độc hại; thông tin này không xác nhận rằng không có PoC công khai hay không thể khai thác.

Kiểm tra hệ thống

  1. Kiểm tra phiên bản PAN-OS hiện tại trên firewall và đối chiếu với mốc đã vá của nhánh tương ứng. Phiên bản thấp hơn mốc đó cần được nâng cấp.

    show system info

  2. Kiểm tra trong giao diện web firewall xem có cấu hình GlobalProtect gateway hay không. Nếu có gateway được cấu hình, hệ thống thuộc điều kiện phơi nhiễm nêu trong advisory.

    Network > GlobalProtect > Gateways

Khắc phục và giảm thiểu

  1. Nâng cấp PAN-OS hoặc Prisma Access lên phiên bản đã vá tương ứng với nhánh đang sử dụng.

  2. Prisma Access sẽ được nâng cấp trong kỳ bảo trì theo lịch. Nếu cần nâng cấp sớm, liên hệ Palo Alto Networks Support hoặc đội ngũ phụ trách để yêu cầu đặt lịch nâng cấp.

  3. Để giảm mức phơi nhiễm, có thể giới hạn truy cập dịch vụ GlobalProtect qua chính sách DoS protection, giới hạn truy cập theo quốc gia và danh sách chặn IP. Đây là biện pháp giảm thiểu; hồ sơ không nêu bước xác minh sau vá.

Nguồn tham khảo

Nguồn tham khảo: Palo Alto PSIRT

Thẻ: CVE-2026-0325

Bài viết liên quan