GlobalProtect CVE-2026-0297: UDP Tünel El Sıkışmasındaki Tampon Taşması İçin Eylem Planı
GlobalProtect CVE-2026-0297 için etkilenen sürümler, MitM ve sahte ağ geçidi riski, SSL-only azaltımı ve güvenli sürüme geçiş adımları.
Açığın özeti
Palo Alto Networks, GlobalProtect uygulamasındaki CVE-2026-0297 zafiyetini 12 Ağustos 2026 tarihinde yayımladı. UDP tünel el sıkışması sırasında oluşan tampon taşması, araya giren saldırganın veya kötü niyetli ağ geçidinin sistem süreçlerini bozmasına ve yükseltilmiş ayrıcalıklarla kod çalıştırmasına yol açabiliyor.
Üretici CVSS 4.0 temel puanını 7,7, tehdit uyarlamalı puanı 5,2 ve önem derecesini orta olarak veriyor. Yayımlama sırasında bilinen kötü amaçlı istismar bulunmadığı belirtilse de VPN istemcisinin güvenilmeyen ağlarda çalışması riski önemli kılıyor.
Saldırı senaryosu
Bu açık doğrudan internetten rastgele bir istemciyi hedefleyen klasik sunucu zafiyeti değildir. Saldırganın trafiğe araya girebilmesi veya istemciyi sahte ağ geçidine yönlendirebilmesi gerekir; halka açık Wi-Fi ve yanlış sertifika doğrulaması bu modeli anlamlı hale getirir.
Başarılı sömürü Windows’ta SYSTEM, macOS ve Linux’ta root ayrıcalıklarıyla sonuçlanabilir. Bu nedenle yalnızca bağlantı kesintisi değil, uç noktanın bütünlüğü ve kimlik bilgilerinin korunması da değerlendirilmelidir.
Etkilenen sürümler
GlobalProtect 6.3 için Windows ve macOS’ta 6.3.3-h14, Linux’ta 6.3.3-h15 öncesi sürümler etkileniyor. Mobil platformlarda 6.3.5 öncesi sürümler de üretici tablosunda yer alıyor.
6.2 dalında Windows ve macOS için güvenli eşik 6.2.8-h13 olarak belirtiliyor. 6.0 dalında hedef sürüm tüm platformlarda 6.0.15 veya sonrası olmalıdır.
- İşletim sistemi ve sürüm dalına göre envanter çıkarın.
- Windows ve macOS 6.3 için 6.3.3-h14 veya sonrasını hedefleyin.
- Linux 6.3 için 6.3.3-h15 veya sonrasına geçin.
- Mobil istemcilerde 6.3.5 ya da güvenli 6.0.15 sürümünü doğrulayın.
Geçici azaltımlar
Üretici, dağıtım tamamlanana kadar IPSec ve UDP tünellemesini kapatıp bağlantıları SSL VPN moduna zorlamayı azaltım seçeneği olarak sunuyor. Bu değişiklik performans ve kapasiteyi etkileyebileceği için pilot kullanıcılarla test edilmelidir.
Uygun Windows ve macOS sürümlerinde sıkı sertifika denetimi de riski azaltabilir. İlk bağlantının korunması ve diğer platformlardaki ayrıntılar için üretici bülteni izlenmeli, sertifika doğrulaması gelişigüzel değiştirilmemelidir.
- Güvenli sürümü pilot gruba dağıtın.
- Gerekirse SSL-only tünel politikasını test edin.
- Sıkı sertifika kontrolünü üretici talimatıyla etkinleştirin.
- Bağlantı, MFA, HIP ve DNS davranışını doğrulayın.
Dağıtım ve doğrulama
Pilot grup farklı işletim sistemlerini, uzaktan çalışanları ve kritik uygulama kullanıcılarını kapsamalıdır. Bağlantı kurulması, yeniden kimlik doğrulama, sertifika kullanımı, bölünmüş tünel ve ağ geçidi seçimi birlikte test edilmelidir.
Dağıtım başarısızlıkları merkezi listede tutulmalı ve çevrimdışı cihazlar ayrı izlenmelidir. Paketin gönderilmiş olması değil, çalışan istemci sürümünün güvenli eşiğe ulaştığı kanıtlanmalıdır.
Şüpheli etkinlik kontrolü
Güncelleme öncesi dönemde VPN bağlantısı sırasında olağan dışı süreç çökmesi, beklenmeyen SYSTEM veya root süreçleri ve bilinmeyen ağ geçitlerine bağlantı girişimleri incelenmelidir. Bu bulgular yalnızca yazılım hatası olarak kapatılmamalıdır.
Şüpheli belirti bulunan cihaz yalnızca güncellenip hizmete döndürülmemelidir. Ağdan ayırma, delil toplama, kimlik bilgisi döndürme ve olay müdahale adımları uygulanmalıdır.
Kapanış ölçütleri
Kapanış raporunda güvenli sürüm oranı, azaltım uygulanan cihazlar, başarısız dağıtımlar ve bekleyen çevrimdışı istemciler gösterilmelidir. Geçici SSL-only değişikliği yapıldıysa kalıcı geçişten sonra politikanın geleceği kararlaştırılmalıdır.
Üretici bülteninin güncellenme tarihi takip edilmeli ve yeni sürüm eşikleri çıkarsa envanter yeniden karşılaştırılmalıdır. Böylece tek seferlik yama yerine sürdürülebilir uç nokta güvenliği sağlanır.