Palo Alto VPN lek: patch én logcontrole
Het Palo Alto VPN lek wordt misbruikt voor ransomware. Vergelijk je PAN-OS-versie en logsignalen. Een patch bewijst niet dat eerdere toegang weg is.
Op 29 mei 2026 kwam het Palo Alto VPN lek CVE-2026-0257 op CISA’s lijst van actief misbruikte kwetsbaarheden. De oktoberupdate van Unit 42 meldt inmiddels misbruik door ransomwaregroepen. Wie alleen een update afvinkt, laat de vraag liggen of er al iemand binnenkwam.
Bij een human firewall horen ook beheerders die een verdachte sessie doorzetten naar incidentrespons. Hieronder controleer je afzonderlijk de patch en een logsignaal. De hulp verwerkt alleen de velden die je invult, op je eigen apparaat.
Raakt het Palo Alto VPN lek jouw configuratie?
Het NCSC-advies van 30 mei noemt een combinatie: hergebruikte certificaten én ingeschakelde opties voor authentication override cookies. Een aanvaller kan dan zonder geldige aanmelding een VPN-verbinding opzetten. Alleen vaststellen dat MFA aanstaat, beantwoordt die configuratievraag niet.
Vergelijk de volledige PAN-OS-versie, inclusief hotfixnummer, met de producttabel van Palo Alto Networks (bijgewerkt 3 juni 2026). De tabel hier toont vaste referentieversies per hoofdreeks. Eerdere versies kunnen óók een reparatie bevatten; een lager nummer in deze verkorte tabel betekent dus niet automatisch kwetsbaar. Prisma Access vraagt een eigen controle.
| PAN-OS-reeks | Referentie met reparatie voor dit lek |
|---|---|
| 12.1 | 12.1.7 |
| 11.2 | 11.2.12 |
| 11.1 | 11.1.15 |
| 10.2 | 10.2.18-h6 |
Past je logsignaal bij de gepubliceerde indicatoren?
Neem event, resultaat en host-ID of bron-IP over uit je GlobalProtect-log. Plak geen volledig logbestand. De vergelijking gebruikt de indicatoren uit Unit 42’s threat brief van 20 oktober 2026. Het is geen netwerkscan en geen volledige incidentanalyse.
Een match vraagt onderzoek. Geen match bewijst niet dat je omgeving schoon is.
Patch klaar is een te vroeg gesloten incident
Unit 42 beschrijft in de oktoberupdate een aanval die vanaf de VPN naar vCenter ging. Aanvallers schakelden ESXi-beveiliging uit en haalden inloggegevens uit de virtuele schijf van een domeincontroller. Beveiliging ín die virtuele machine ziet zo’n uitlezing van buitenaf niet vanzelf.
Dat maakt “bijgewerkt” een slechte eindstatus voor het incident. Het NCSC adviseert naast updates ook controle op indicatoren. Verbind een gevonden sessie aan onderzoek naar het bereikbare interne netwerk. Onze uitleg over ransomware beschrijft waarom het losgeldscherm pas laat zichtbaar wordt.
Maar een verdachte apparaatnaam bewijst op zichzelf geen inbraak. Namen kunnen samenvallen en de gepubliceerde lijst is onvolledig. Zelfs een geslaagde authenticatie bewijst nog geen opgebouwde tunnel. Zoek daarom naar event én resultaat, en laat de context beoordelen.
Welke datum en welk logevent tellen?
De KEV-gegevens van CISA vermelden 29 mei 2026 als opnamedatum en bekend gebruik in ransomwarecampagnes. Unit 42 noemt in de samenvatting 13 mei als KEV-datum. Voor die datum volgt deze pagina de catalogusbeheerder zelf.
In dezelfde threat brief staat bovenaan nog een oudere passage zonder waargenomen verdere verspreiding. De update van 19 oktober beschrijft die juist wel. De update van 20 oktober noemt ook onbedoeld openbare beheerinterfaces op poorten 4443 en 3879. Dat is een aparte configuratiecontrole. Lees de gedateerde update; de eerdere waarneming is geen actuele geruststelling. Voor logonderzoek noemt Unit 42 succesvolle gateway-connected-events met verdachte host-ID’s of apparaatnamen, ongeacht het bron-IP.
Welke bewijzen vraag je vóór je betaalt voor herstel?
- Vraag je beheerpartner om de volledige versies van alle betrokken portals en gateways, met de vergelijking tegen de actuele makerstabel. De maker waarschuwt voor cookieproblemen bij een gedeeltelijke upgrade.
- Laat de onderzochte periode, logdekking en gevonden VPN-sessies vastleggen. Bij een succesvolle gateway-connected-match: activeer incidentrespons en bewaar de oorspronkelijke gebeurtenissen.
- Vraag welk onderzoek naar interne toegang nodig is en wie dat uitvoert. Een factuur voor de update vervangt geen onderbouwde incidentafsluiting.
De WannaCry-lessen over patchbeheer en segmentering passen hier: wijs iemand aan die de controle afrondt. Bij een volgende update van Unit 42 kunnen indicatoren veranderen. De lokale vergelijking hieronder blijft gebaseerd op de bronversie van 20 oktober; herhaal aanvullend onderzoek met de actuele threat brief.
Bronnen: Palo Alto Networks beveiligingsadvies, 3 juni 2026; Unit 42, bijgewerkt 20 oktober 2026; Dutch IT Channel, 21 oktober 2026; NCSC en CISA, geraadpleegd 21 oktober 2026.
Een patch sluit een verdachte VPN-sessie niet af.
Vergelijk het logsignaal en bespreek de uitkomst met je incidentverantwoordelijke.
Naar de logvergelijking
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.