TR-26-1442 - Palo Alto Networks PAN-OS Ayrıntılı Güvenlik Duyurusu (CVE-2026-0322)

[Toplama Pc]

1. Genel Bilgi

Palo Alto Networks, ağ güvenliği ürünleri geliştiren bir üreticidir. Üreticinin PAN-OS adlı yazılımı, şirketin yeni nesil güvenlik duvarlarını çalıştıran işletim sistemidir.2 Güvenlik duvarı, bir kurumun ağına girip çıkan trafiği denetleyen ve hangi bağlantıya izin verileceğine karar veren cihaz veya yazılımdır. PAN-OS; uygulamaları tanıma, kullanıcı ve cihaz bazında kural uygulama, trafik içeriğini tehditlere karşı inceleme ve şifreli trafiği denetleme gibi işlevler sağlamaktadır.2

Bu vakada PAN-OS'un üç farklı kullanım biçimi etkilenmektedir:

• PA-Series: Veri merkezleri, kampüsler ve şubeler için üretilen fiziksel güvenlik duvarı cihazlarıdır.2
• VM-Series: Aynı güvenlik duvarının sanal sunucu ortamlarında ve özel/genel bulutlarda çalışan sanal sürümüdür.3
• Panorama: Çok sayıda Palo Alto Networks güvenlik duvarının yapılandırmasını, izlenmesini ve raporlanmasını tek merkezden yönetmeye yarayan yönetim sistemidir.4

Zafiyet, bu ürünlerin yönetim arayüzünde bulunmaktadır. Yönetim arayüzü, sistem yöneticilerinin cihazın ayarlarını yaptığı ve cihazı yönettiği bölümdür. CVE-2026-0322 kodlu bu zafiyet, yönetim arayüzüne ağ üzerinden erişebilen ve geçerli bir kullanıcı hesabıyla oturum açabilen bir saldırganın güvenlik duvarında kendi istediği kodu en yüksek yetki düzeyinde (root) çalıştırabilmesine imkân tanımaktadır.1 CVE kodları, farklı güvenlik zafiyetlerinin birbirinden karıştırılmadan tanımlanmasını sağlayan benzersiz kimliklerdir.

Bu durum, saldırganın ağ trafiğini denetleyen cihazın tam denetimini ele geçirebilmesi anlamına gelmektedir. Ancak zafiyetin kullanılabilmesi için iki önemli koşul bulunmaktadır: Saldırganın geçerli kimlik bilgilerine sahip olması ve yönetim arayüzüne ağ üzerinden erişebilmesi gerekmektedir. Üretici, yönetim arayüzüne internetten erişime izin verilen kurulumlarda riskin en yüksek düzeyde olduğunu belirtmektedir.1

Üretici, zafiyetin gerçek saldırılarda çok sınırlı ölçüde kullanıldığını gözlemlediğini bildirmektedir. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da zafiyeti istismar edildiği bilinen zafiyetler kataloğuna eklemiştir.1 10 Saldırıların kim tarafından, ne zamandan beri ve kaç cihaza karşı yapıldığı kamuya açıklanmamıştır.

Palo Alto Networks'ün bulut tabanlı hizmetleri Cloud NGFW ve Prisma Access bu zafiyetten etkilenmemektedir.1

Kurumların, PA-Series, VM-Series ve Panorama sistemlerini üreticinin yayımladığı düzeltilmiş PAN-OS sürümlerine güncellemesi gerekmektedir. Güncelleme yapılana kadar yönetim arayüzüne erişim yalnızca güvenilen iç ağ adresleriyle sınırlandırılmalıdır. Zafiyet gerçek saldırılarda kullanıldığından, güncellemenin daha önce yaşanmış olabilecek bir ele geçirmeyi kendiliğinden ortadan kaldırmadığı dikkate alınmalı; cihazların yönetici hesapları, yapılandırma değişiklikleri ve kayıtları ayrıca incelenmelidir.

2. Teknik Detaylar

2.1. Temel Bilgiler

• Üretici / Vendor: Palo Alto Networks
• CNA: Palo Alto Networks11
• Ürün: PA-Series ve VM-Series güvenlik duvarları ile Panorama (sanal ve M-Series) üzerinde çalışan PAN-OS1
• Bileşen: Yönetim arayüzü (management interface)1
• CVE: CVE-2026-0322
• Zafiyet Türü: Kod enjeksiyonu (code injection) yoluyla kimlik doğrulama sonrası (post-authentication) uzaktan kod yürütme (Remote Code Execution, RCE)1
• CWE: CWE-94 Improper Control of Generation of Code ('Code Injection')1
• CAPEC: CAPEC-242 Code Injection1
• Etkilenen Servis / Özellik: PAN-OS yönetim arayüzü. Üreticiye göre etkilenmek için özel bir yapılandırma gerekmemektedir.1
• İstismar Ön Koşulu: Kimliği doğrulanmış saldırgan (authenticated attacker) ve yönetim arayüzüne ağ erişimi1
• Saldırı Vektörü: Ağ. Yönetim arayüzüne erişimin yalnızca bir atlama sunucusuyla sınırlandırıldığı senaryoda CNA değeri AV:A'dır.1
• Kullanıcı Etkileşimi: Gerekmemektedir.1
• Gerekli Ayrıcalıklar: Kimlik doğrulama gerekmektedir; CNA CVSS v4.0 vektöründe Yüksek olarak değerlendirilmiştir. Üretici gerekli hesap rolünü açıklamamaktadır.1
• Etkilenen Sürümler:
  • PAN-OS 12.2: 12.2.4 öncesi
  • PAN-OS 12.1: 12.1.4-h12, 12.1.7-h8 ve 12.1.10-h2 öncesi
  • PAN-OS 11.2: 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 ve 11.2.16 öncesi
  • PAN-OS 11.1: 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 ve 11.1.16-h3 öncesi
  • PAN-OS 10.2: 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 ve 10.2.18-h12 öncesi
  • Desteklenmeyen eski PAN-OS sürümleri
  • Etkilenmeyenler: Cloud NGFW ve Prisma Access1
• Minimum Güvenli Sürüm:
  • PAN-OS 12.2: 12.2.4
  • PAN-OS 12.1: 12.1.4-h12 / 12.1.7-h8 / 12.1.10-h2
  • PAN-OS 11.2: 11.2.4-h22 / 11.2.7-h21 / 11.2.10-h15 / 11.2.13-h3 / 11.2.16
  • PAN-OS 11.1: 11.1.4-h37 / 11.1.6-h39 / 11.1.7-h11 / 11.1.10-h35 / 11.1.13-h15 / 11.1.16-h3
  • PAN-OS 10.2: 10.2.7-h38 / 10.2.10-h41 / 10.2.13-h26 / 10.2.16-h11 / 10.2.18-h1211
• Güncel Önerilen Sürüm: Güvenlik duyurusu her dal için ulaşılabilecek en yüksek düzeltilmiş sürümü göstermektedir: 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3, 10.2.18-h12 veya sonrası.1 Üreticinin genel tercih edilen PAN-OS sürüm rehberi doğrulanamamıştır.
• Aktif İstismar Durumu: Üretici çok sınırlı istismar gözlemlendiğini bildirmektedir; CISA KEV kataloğundadır.1 10
• Saldırı Zinciri: Uygulanabilir değildir.

2.2. Zafiyet Tanımı

CVE-2026-0322, PAN-OS yönetim arayüzünde bulunan bir kod enjeksiyonu zafiyetidir. Ağ erişimi bulunan kimliği doğrulanmış bir saldırgan, bu zafiyet aracılığıyla güvenlik duvarında root yetkileriyle keyfi kod çalıştırabilmektedir. Zafiyet; PA-Series ve VM-Series güvenlik duvarlarındaki ve Panorama'daki (sanal ve M-Series) PAN-OS yazılımında bulunmaktadır.1

Üretici, zafiyetin hangi yönetim işlevinde veya istekte bulunduğunu, kodun nasıl enjekte edildiğini ve hangi hesap rolünün yeterli olduğunu açıklamamıştır. Zafiyet üretici tarafından dahili olarak tespit edilmiştir.1

2.3. Zayıflıklar

CWE: CWE-94 Improper Control of Generation of Code ('Code Injection'). Bu zayıflık türü, yazılımın dışarıdan gelen veriyi çalıştırılacak kodun parçası hâline getirirken yeterli denetim yapmaması durumunu ifade etmektedir. Bu vakada zayıflık, yönetim arayüzüne gönderilen girdinin root yetkileriyle çalışan kod olarak işlenebilmesiyle ortaya çıkmaktadır.1

CAPEC: CAPEC-242 Code Injection. CNA bu saldırı örüntüsünü güvenlik duyurusunda ve CVE kaydında açıkça ilişkilendirmiştir.1 11

Kamuya açık güvenilir kaynaklarda bu vakaya özgü doğrulanmış MITRE ATT&CK eşleşmesi bulunmamaktadır.

2.4. Etkiler

Zafiyetin doğrudan teknik etkisi, kimliği doğrulanmış saldırganın güvenlik duvarında veya Panorama'da root yetkileriyle keyfi kod çalıştırabilmesidir. CNA değerlendirmesine göre zafiyetli sistemin gizliliği, bütünlüğü ve erişilebilirliği yüksek düzeyde etkilenmekte; sonraki sistemler üzerinde doğrudan etki öngörülmemektedir.1

Root düzeyinde kod yürütme, cihazın yönetim arayüzünün sağladığı yetkilerin ötesine geçilerek işletim sistemi düzeyinde denetim elde edilmesi anlamına gelmektedir. Bu nedenle başarılı bir istismarın; güvenlik kurallarının değiştirilmesi, cihaz üzerinde kalıcılık sağlanması ve cihazın denetlediği trafiğe erişilmesi gibi sonuçlara yol açabileceği değerlendirilmektedir. Bu olası sonuçlar teknik değerlendirmedir; üretici bu vakadaki saldırılarda gerçekleştirilen eylemleri açıklamamıştır.

Panorama'nın etkilenmesi, merkezî yönetim sisteminin ele geçirilmesi durumunda bu sistemin yönettiği güvenlik duvarlarının da risk altına girebileceği anlamında ayrıca önem taşımaktadır. Ancak bu senaryoya ilişkin gerçek saldırı gözlemi kamuya açık güvenilir kaynaklarda doğrulanmamıştır.

2.5. Sömürü Durumu

• Aktif exploit var mı?: Üretici istismar gözlemlendiğini bildirmektedir; kullanılan istismar materyali kamuya açıklanmamıştır.1
• PoC var mı?: Kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.
• Gerçek dünya istismarı var mı?: Evet. Üretici “Very limited exploitation” ifadesiyle çok sınırlı istismar gözlemlendiğini bildirmektedir.1 HKCERT de zafiyetin gerçek saldırılarda kullanıldığını belirtmektedir.9
• Exploit chain gerçek saldırıda doğrulandı mı?: Hayır.
• CISA KEV durumu: Katalogda; eklenme tarihi 14.10.2026; bilinen fidye yazılımı kampanyalarında kullanım (Known Ransomware Campaign Use): Unknown; son işlem tarihi (Due Date): 17.10.2026.10
• CISA SSVC durumu: Sömürü durumu: aktif; Otomatize edilebilirlik: hayır; Teknik etki: tam (CISA ADP, 14.10.2026).11

Zaman Çizelgesi:

• 14.10.2026, 16.00 UTC: Üretici güvenlik duyurusunu yayımladı.1
• 14.10.2026, 17.26 UTC: CVE-2026-0322 kaydı yayımlandı.11
• 14.10.2026: CISA, zafiyeti KEV kataloğuna ekledi.10
• 15.10.2026: Üretici, PAN-OS 11.2.16 sürümünün yayımlandığını duyuruya ekledi.1
• 17.10.2026: CISA KEV son işlem tarihi doldu.10

Gerçek dünya istismarının kanıt düzeyi üreticinin kendi gözlemine dayanmaktadır. Üretici gözlemin kapsamını “çok sınırlı” olarak nitelendirmekte; ilk istismar tarihini, saldırganı, etkilenen kurum veya cihaz sayısını ve saldırganların ilk erişimi nasıl elde ettiğini açıklamamaktadır.1 İkincil kaynaklar, bu sorulara üreticiden yanıt alınamadığını aktarmaktadır.15 Bu nedenle ilk istismar tarihi Zaman Çizelgesi'ne alınmamıştır; kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.

Üreticinin yayımladığı üç IP adresi, tehdit faaliyeti ve sınırlı istismar girişimleriyle ilişkilendirilmektedir.1 Bu ifade istismar girişimi düzeyindedir; bu adreslerden gelen isteklerin başarılı kod yürütmeyle sonuçlandığına ilişkin kamuya açık ayrıntı bulunmamaktadır.

CISA'nın KEV kaydı, zafiyeti adli analiz ön değerlendirmesi (forensic triage) gerektiren kayıtlar arasında işaretlemektedir.10 Bu işaret, CISA'nın zafiyeti yalnızca güncelleme ile değil, olası ele geçirme kontrolüyle birlikte ele alınması gereken bir kayıt olarak değerlendirdiğini göstermektedir.14

Zafiyetin istismarı geçerli kimlik bilgileri gerektirdiğinden, gözlemlenen saldırılarda saldırganların bu kimlik bilgilerini nasıl elde ettiği açıklanmamıştır. Kamuya açık bir tehdit aktörü atfı veya kampanya adı bulunmamaktadır.

3. Risk Değerlendirmesi

Resmî Ortak Zafiyet Puanlama Sistemi (Common Vulnerability Scoring System, CVSS) değerlendirmeleri:

• Palo Alto Networks (CNA) — CVSS v4.0 — 8.6 (HIGH): CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V/RE:M/U:Red1
• Palo Alto Networks (CNA) — CVSS v4.0 — 8.5 (HIGH), erişimin yalnızca atlama sunucusuyla sınırlandırıldığı senaryo: CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V/RE:M/U:Red1
• NIST NVD — CVSS v3.1 — 7.2 (HIGH): CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H12

CNA'nın 8.6 ile NIST'in 7.2 değerlendirmesi arasındaki fark, farklı yayıncıların farklı CVSS sürümleriyle yaptığı değerlendirmelerden kaynaklanmaktadır ve maddi bir çelişki değildir. CNA'nın iki değerlendirmesi arasındaki fark yalnızca saldırı vektörü (Attack Vector) değerindedir.

CNA CVSS v4.0 temel metrikleri (8.6 değerlendirmesi):

• Saldırı vektörü (Attack Vector, AV): Ağ (N)
• Saldırı karmaşıklığı (Attack Complexity, AC): Düşük (L)
• Saldırı gereksinimleri (Attack Requirements, AT): Yok (N)
• Gerekli yetkiler (Privileges Required, PR): Yüksek (H)
• Kullanıcı etkileşimi (User Interaction, UI): Yok (N)
• Zafiyetli sistem (Vulnerable System) gizliliği (VC): Yüksek (H)
• Zafiyetli sistem bütünlüğü (VI): Yüksek (H)
• Zafiyetli sistem erişilebilirliği (VA): Yüksek (H)
• Sonraki sistem (Subsequent System) gizliliği (SC): Yok (N)
• Sonraki sistem bütünlüğü (SI): Yok (N)
• Sonraki sistem erişilebilirliği (SA): Yok (N)

FIRST İstismar Tahmin Puanlama Sistemi (Exploit Prediction Scoring System, EPSS):

• EPSS: %1,74
• Yüzdelik dilim (percentile): %77,731
• Veri tarihi: 01.11.2026
• Doğrulama tarihi: 02.11.2026

CISA İstismar Edildiği Bilinen Zafiyetler (Known Exploited Vulnerabilities, KEV):

• Katalog durumu: Mevcut (Palo Alto Networks PAN-OS Code Injection Vulnerability)
• Eklenme tarihi: 14.10.2026
• Bilinen fidye yazılımı kampanyalarında kullanım: Bilinmiyor
• Gerekli işlem (Required Action): Üreticinin önerdiği önlemlerin uygulanması, BOD 26-04 ve CISA'nın adli analiz ön değerlendirmesi gereksinimlerine uyulması, önlem uygulanamıyorsa ürünün kullanımının bırakılması; her varlığın internete açıklığının değerlendirilmesi
• Son işlem tarihi: 17.10.2026 10

CISA Paydaşlara Özgü Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC) — CISA yetkili veri yayıncısı (Authorized Data Publisher, ADP): Sömürü durumu: aktif; Otomatize edilebilirlik: hayır; Teknik etki: tam. CISA ADP bu kayıt için ayrı bir CVSS veya CWE değerlendirmesi yayımlamamıştır.11

Kurumsal değerlendirme: CVSS değerlendirmeleri yüksek yetki gereksinimi nedeniyle “HIGH” düzeyindedir; ancak üreticinin istismar gözlemi, CISA KEV kaydı ve SSVC'deki “active” ve “total” değerleri, zafiyetin gerçek saldırılarda kullanıldığını ve başarılı istismarın sistemin tam denetimini sağladığını göstermektedir. Üretici, risk düzeyini doğrudan yönetim arayüzünün erişilebilirliğine bağlamakta ve önerdiği aciliyeti “HIGHEST” olarak belirlemektedir.1 EPSS değeri istismar kanıtı değildir; bu vakada gerçek dünya istismarı zaten üretici ve CISA tarafından doğrulanmıştır.

4. Etkisizleştirme (Mitigation)

Üretici bu zafiyet için bilinen bir geçici çözüm (workaround) bulunmadığını belirtmektedir.1 Üreticinin riski azaltmak için önerdiği kontroller şunlardır:

• Yönetim arayüzüne erişim, üreticinin en iyi uygulama rehberine uygun olarak yalnızca güvenilen iç IP adresleriyle sınırlandırılmalıdır.1
• Yönetim arayüzüne erişimin, bu arayüze erişmesine izin verilen tek sistem olan bir atlama sunucusu (jump box) ile sınırlandırılması istismar riskini azaltmaktadır.1
• Üreticinin yönetim erişimi rehberi; yönetim işlemleri için bant dışı yönetim portunun (out-of-band management port) kullanılmasını, yönetim arayüzünün internet dahil güvenilmeyen ağlara açılmamasını ve güçlü parola politikası uygulanmasını önermektedir.5

Threat Prevention aboneliği bulunan kurumlar, Applications and Threats içerik sürümü (content version) 9159-10287 ve sonrasında yer alan 510046 ve 510047 numaralı tehdit kimliklerini (Threat ID) etkinleştirerek sınırlı koruma sağlayabilmektedir. Bu imzaların etkili olabilmesi için üretici şu koşulları belirtmektedir:1

• Yönetim (MGT) portuna gelen trafiğin bir veri portu (data port) üzerinden yönlendirilmesi, örneğin bir veri arayüzünde yönetim profili (management profile) etkinleştirilmesi,
• Gelen yönetim trafiği için sertifikanın değiştirilmesi,
• Yönetim arayüzüne gelen trafiğin, güvenlik duvarının inceleyebilmesi için şifresinin çözülmesi,
• Yönetim servislerine gelen trafikte tehdit önlemenin etkinleştirilmesi.

Üretici bu imzaların SSL şifre çözme (SSL Decryption) gerektirdiğini ve yalnızca bilinen saldırı örüntülerini tanıyabildiğini, varyantların tespit edilemeyebileceğini belirtmektedir.1

Genel savunma önerisi olarak, zafiyetin istismarı geçerli kimlik bilgisi gerektirdiğinden yönetim arayüzüne erişimi olan hesapların gözden geçirilmesi, kullanılmayan hesapların devre dışı bırakılması ve yönetici parolalarının yenilenmesinin değerlendirilmesi önerilmektedir. Bu öneriler üretici talimatı değildir.

Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.

5. Kalıcı Çözüm (Remediation)

Kalıcı çözüm, PAN-OS'un düzeltilmiş sürümlere güncellenmesidir. Üretici, kullanılan dala ve alt sürüme göre şu yükseltmeleri önermektedir:1

• PAN-OS 12.2: 12.2.0–12.2.3 → 12.2.4 veya sonrası
• PAN-OS 12.1:
  • 12.1.8–12.1.10-h* → 12.1.10-h2 veya sonrası
  • 12.1.5–12.1.7-h* → 12.1.7-h8 veya 12.1.10-h2 ve sonrası
  • 12.1.2–12.1.4-h* → 12.1.4-h12 veya 12.1.10-h2 ve sonrası
• PAN-OS 11.2:
  • 11.2.14–11.2.15 → 11.2.16 veya sonrası
  • 11.2.11–11.2.13-h* → 11.2.13-h3 veya 11.2.16 ve sonrası
  • 11.2.8–11.2.10-h* → 11.2.10-h15 veya 11.2.16 ve sonrası
  • 11.2.5–11.2.7-h* → 11.2.7-h21 veya 11.2.16 ve sonrası
  • 11.2.0–11.2.4-h* → 11.2.4-h22 veya 11.2.16 ve sonrası
• PAN-OS 11.1:
  • 11.1.14–11.1.16-h* → 11.1.16-h3 veya sonrası
  • 11.1.11–11.1.13-h* → 11.1.13-h15 veya 11.1.16-h3 ve sonrası
  • 11.1.8–11.1.10-h* → 11.1.10-h35 veya 11.1.16-h3 ve sonrası
  • 11.1.7–11.1.7-h* → 11.1.7-h11 veya 11.1.16-h3 ve sonrası
  • 11.1.5–11.1.6-h* → 11.1.6-h39 veya 11.1.16-h3 ve sonrası
  • 11.1.0–11.1.4-h* → 11.1.4-h37 veya 11.1.16-h3 ve sonrası
• PAN-OS 10.2:
  • 10.2.17–10.2.18-h* → 10.2.18-h12 veya sonrası
  • 10.2.14–10.2.16-h* → 10.2.16-h11 veya 10.2.18-h12 ve sonrası
  • 10.2.11–10.2.13-h* → 10.2.13-h26 veya 10.2.18-h12 ve sonrası
  • 10.2.8–10.2.10-h* → 10.2.10-h41 veya 10.2.18-h12 ve sonrası
  • 10.2.0–10.2.7-h* → 10.2.7-h38 veya 10.2.18-h12 ve sonrası
• Desteklenmeyen eski PAN-OS sürümleri: Desteklenen ve düzeltme içeren bir sürüme yükseltilmelidir.
• Cloud NGFW ve Prisma Access: İşlem gerekmemektedir.

Sürüm adlarındaki “-h” ekleri üreticinin acil düzeltme sürümü (hotfix) etiketleridir ve özgün biçimleriyle uygulanmalıdır. Güncelleme, PA-Series ve VM-Series güvenlik duvarlarının yanı sıra Panorama sistemlerini de kapsamalıdır.1

Güvenlik güncellemesi zafiyeti kapatmakta, ancak güncellemeden önce gerçekleşmiş olabilecek bir ele geçirmeyi ortadan kaldırmamaktadır. Önceden oluşturulmuş hesaplar, yapılandırma değişiklikleri veya cihaz üzerinde bırakılmış kalıcılık unsurları güncellemeyle kendiliğinden temizlenmiş kabul edilmemelidir. Üretici bu CVE için olay müdahalesi adımları yayımlamamıştır. CISA'nın KEV kaydı ise zafiyeti adli analiz ön değerlendirmesi gerektiren kayıtlar arasında işaretlemektedir.10 Üretici ilk istismar tarihini açıklamadığından geriye dönük inceleme için kaynaklı bir başlangıç tarihi verilememektedir; inceleme, cihazın yönetim arayüzünün erişilebilir olduğu süreyi kapsayacak biçimde planlanmalıdır.

6. Tespit / İzleme (SOC/SIEM için)

6.1. Log Göstergeleri

Üretici bu zafiyete özgü bir kayıt göstergesi, olay kimliği veya kayıt satırı yayımlamamıştır. Aşağıdaki kayıt türleri ürün belgelerinde tanımlanmış olup inceleme için kullanılabilecek alanlardır; tek başlarına istismar kanıtı değildir:

• Yapılandırma kayıtları (config logs): Yapılandırma değişikliklerini kaydetmektedir. Host (istemci adresi), Admin (değişikliği yapan yönetici), Command (add, delete, edit, set, commit vb.), Result ve Configuration Path alanları; beklenmeyen yönetici, beklenmeyen kaynak adres veya olağan dışı değişiklik açısından incelenebilir.6
• Sistem kayıtları (system logs): Sistem servislerinin ürettiği olayları kaydetmektedir. Event ID, Description, Severity ve Subtype alanları bulunmaktadır; Module alanında “auth” değeri kimlik doğrulamayla ilgili sistem olaylarını işaret etmektedir.7
• Denetim kayıtları (audit logs): Yöneticinin web arayüzündeki gezinmelerini ve CLI'de çalıştırdığı operasyonel komutları kaydetmektedir. Bu kayıtlar yalnızca syslog (sistem kayıtlarının tutulması veya iletilmesi için kullanılan mekanizma) sunucusuna iletilmekte, cihazda yerel olarak saklanmamaktadır; önceden yapılandırılmamışsa geriye dönük olarak elde edilemez.8

Yönetim arayüzüne yapılan başarılı oturum açmalar ve yönetici işlemleri meşru kullanımda da oluşmaktadır. Bu nedenle değerlendirme, kaynak adres, zaman ve yönetici hesabı birlikte ele alınarak yapılmalıdır.

6.2. IOC

Üretici, aşağıdaki IP adreslerinin tehdit faaliyeti ve bu zafiyeti hedefleyen sınırlı istismar girişimleriyle ilişkili olduğunu bildirmektedir:1

• 66[.]42[.]72[.]14
• 208[.]83[.]239[.]114
• 149[.]248[.]47[.]234

Bu adresler istismar girişimi düzeyindeki güvenlik ihlali göstergeleridir (indicator of compromise, IOC). Kamuya açık güvenilir kaynaklarda bu vakaya özgü doğrulanmış dosya, alan adı veya özet değeri göstergesi bulunmamaktadır. Saldırganların farklı altyapı kullanabileceği dikkate alınmalı; bu adreslerin kayıtlarda bulunmaması, cihazın hedeflenmediği anlamına gelmemektedir.

6.3. Tespit Kuralı Önerisi

Üretici imzaları: Threat Prevention aboneliği için 510046 ve 510047 numaralı tehdit kimlikleri (Applications and Threats içerik sürümü 9159-10287 ve sonrası) bu zafiyete karşı sınırlı koruma sağlamaktadır. İmzaların çalışması için 4. bölümde belirtilen yönlendirme ve SSL şifre çözme koşulları gerekmektedir.1

Kamuya açık güvenilir kaynaklarda bu vakaya özgü doğrulanmış Sigma, YARA veya SIEM kuralı bulunmamaktadır.

Analist tarafından önerilen davranış korelasyonu (hazır veya doğrulanmış istismar imzası değildir):

• Yönetim arayüzüne 6.2'deki IP adreslerinden veya kurumun yönetim ağı dışındaki adreslerden yapılan bağlantıların, aynı zaman aralığındaki yönetici oturum açma olaylarıyla eşleştirilmesi,
• Olağan çalışma saatleri dışında veya daha önce görülmemiş bir kaynak adresten yapılan yönetici oturumlarının ardından gelen yapılandırma değişikliklerinin ve commit işlemlerinin izlenmesi,
• Yeni yönetici hesabı oluşturulması veya mevcut yönetici hesaplarında yapılan değişikliklerin ayrıca uyarı üretecek biçimde izlenmesi,
• Güvenlik duvarı ve Panorama yönetim adreslerinden internete yönelik beklenmeyen giden bağlantıların incelenmesi.

Zafiyet tarayıcıları (vulnerability scanner) bu zafiyeti çoğunlukla sürüm bilgisine dayalı kontrol (version-based check) ile tespit etmektedir. Bu kontrol yalnızca cihazın etkilenen bir sürümde olup olmadığını göstermekte; istismar girişimini, başarılı istismarı veya ele geçirmeyi göstermemektedir.

7. Kaynaklar

1. Palo Alto Networks - CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface
2. Palo Alto Networks - PAN-OS Software
3. Palo Alto Networks - VM-Series Virtual Next-Generation Firewall
4. Palo Alto Networks - Panorama Firewall Management
5. Palo Alto Networks - Critical Recommendations for Deployment Guides: How to Secure the Management Access to your Palo Alto Networks Device
6. Palo Alto Networks - Config Log Fields
7. Palo Alto Networks - System Log Fields
8. Palo Alto Networks - Configure Tracking of Administrator Activity
9. HKCERT - Palo Alto Products Multiple Vulnerabilities
10. CISA - cisagov/kev-data
11. CVE Program - CVE Record: CVE-2026-0322
12. NIST NVD - CVE-2026-0322 Detail
13. FIRST - EPSS API
14. CSO Online - Attackers exploit Palo Alto PAN-OS flaw for root access as CISA orders three-day fix
15. BleepingComputer - Palo Alto Networks warns of PAN-OS RCE flaw exploited in attacks