觀點 · 資訊分享

PAN-OS GlobalProtect 驗證繞過 CVE-2026-0257 列入 CISA 已遭利用清單

Palo Alto 在 5 月 13 日就公告了 PAN-OS GlobalProtect 的驗證繞過漏洞，CISA 在 5 月 29 日把 CVE-2026-0257 列入已知遭利用清單。官方說已有針對未修補設備的有限度攻擊嘗試。

一句話看懂：Palo Alto 防火牆的 GlobalProtect VPN 有個驗證繞過漏洞，CISA 在 5 月 29 日把它列入已遭利用清單，沒修的人要趕快處理。

PAN-OS GlobalProtect CVE-2026-0257資訊圖卡：防火牆 VPN 的登入把關能被繞過，官方說已有未修補設備被攻擊

先用白話講：驗證繞過是什麼？

想像公司大樓的門禁：員工要刷卡才能進來。但如果門禁系統有個漏洞，只要出示一張「看起來像樣」的臨時通行證，系統就不再仔細檢查，直接放行。

驗證繞過就是這種狀況：攻擊者不需要正確的帳號密碼，就能通過本來該擋下他的檢查。

漏洞編號：CVE-2026-0257
產品：Palo Alto Networks PAN-OS 的 GlobalProtect 入口（portal）與閘道（gateway）
影響：攻擊者可以繞過安全限制，建立未經授權的 VPN 連線
時間線：Palo Alto 在 5 月 13 日發布安全公告；5 月 29 日 CISA 把它列入已知遭利用漏洞（KEV）清單，NVD 記載的修補期限為 6 月 1 日
攻擊狀況：官方說已知有針對未修補、且沒套用緩解措施設備的有限度攻擊嘗試

情況	結果
有 GlobalProtect 入口或閘道，且啟用驗證覆寫 cookie、有特定憑證設定	可能受影響
沒啟用驗證覆寫 cookie	依官方描述不在範圍內
Panorama、Cloud NGFW	不受影響
Prisma Access	官方說明正依排程替客戶升級

弱點類型為 CWE-565：使用 cookie 時缺少驗證與完整性檢查
Palo Alto 的 CVSS 4.0 評分是 7.8（High）、利用成熟度標示為已被攻擊（ATTACKED），建議緊急程度為最高
檢查 cookie 設定：入口端在 Network → GlobalProtect → Portals → Agent → Authentication，看是否勾選產生或接受驗證覆寫 cookie；閘道端在 Authentication Override 看是否勾選接受 cookie
修正版本舉例：PAN-OS 12.1 升到 12.1.7、11.2 升到 11.2.12、11.1 升到 11.1.15、10.2 升到 10.2.18-h6 以上；各子版本另有對應的 hotfix，完整表格以官方公告為準
官方公告在 5 月 29 日之後仍可能更新，請以最新內容為準

接案時常遇到中小企業用 Palo Alto 或類似的防火牆當遠端上班的入口，管理的人往往只有一兩位，韌體更新很容易拖。VPN 入口是直接面對網際網路的，一旦出問題，後面整個內網都暴露。

建議的順序：先確認有沒有開驗證覆寫 cookie（這步最快），再排修補窗口。如果短時間無法升級，至少先去看官方公告有沒有提到臨時緩解措施，並檢查 VPN 登入紀錄裡有沒有不認得的來源。

GlobalProtect 是什麼？

Palo Alto 防火牆提供的 VPN 服務，員工用它從外面連回公司內網。這個漏洞讓攻擊者有機會繞過驗證，建立沒有被授權的連線。

我要怎麼知道自己受不受影響？

官方說明受影響的設定是：GlobalProtect 入口或閘道啟用了「驗證覆寫 cookie」（產生或接受 cookie），而且有特定的憑證設定。檢查步驟在 Palo Alto 的安全公告頁有逐步說明。

怎麼修？

升級到官方列出的修正版本，例如 PAN-OS 12.1.7、11.2.12、11.1.15、10.2.18-h6 以上（各分支另有對應的 hotfix 版本，完整對照請看官方公告）。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。