Een beveiligingslek in de firewalls van Palo Alto Networks wordt actief misbruikt bij aanvallen, zo laat de leverancier zelf weten. Via de kwetsbaarheid kan een aanvaller de authenticatie omzeilen en een niet-toegestane vpn-verbinding opzetten. Op 13 mei verschenen er beveiligingsupdates voor de kwetsbaarheid, aangeduid als CVE-2026-0257. Het lek is aanwezig in PAN-OS, het besturingssysteem dat op de firewalls van Palo Alto Networks draait.

Volgens securitybedrijf Rapid7 maken aanvallers sinds 17 mei misbruik van het probleem. De aanval is alleen mogelijk bij een specifieke configuratie. Zo moet de 'authentication override feature' in de GlobalProtect portal of gateway staan ingeschakeld en moet het certificaat voor het versleutelen en ontsleutelen van de 'authentication override cookie' worden hergebruikt. Bij de aanval weet een aanvaller een cookie te bemachtigen voor het opzetten van een vpn-verbinding.

Palo Alto Networks adviseert om het betreffende certificaat niet te hergebruiken en ook niet voor andere features toe te passen. Volgens Rapid7 moeten organisaties het probleem als een kritieke kwetsbaarheid behandelen. "Een authenticatie bypass in een vpn-appliance kan grote gevolgen voor de betreffende organisatie hebben", aldus het securitybedrijf in een analyse. Op een schaal van 1 tot en met 10 heeft CVE-2026-0257 een CVSS 4.0 score van 7.8. Als de rekenmethode van CVSS 3 wordt toegepast is de impact beoordeeld met een 9.1.

Het Amerikaanse cyberagentschap CISA heeft inmiddels het misbruik ook gemeld en Amerikaanse overheidsinstanties opgedragen de updates binnen drie dagen te installeren. Normaliter hanteert het CISA een deadline van twee weken voor het patchen van aangevallen lekken. Bij zeer ernstige problemen wordt een kortere periode gehanteerd en moeten overheidsinstanties sneller in actie komen. Het Nationaal Cyber Security Centrum (NCSC) adviseert Nederlandse organisaties om kwetsbare omgevingen te controleren op aanwezigheid van Indicators of Compromise (IOC's) die door Rapid7 zijn gedeeld. Zo kunnen organisaties kijken of hun systemen niet zijn gecompromitteerd.