--- title: "Palo Alto VPN lek: patch én logcontrole" date: 2026-10-21 author: "Redactie Humanfirewall" featured_image: "https://humanfirewall.nl/wp-content/uploads/2026/10/palo-alto-vpn-lek-logcontrole.jpg" categories: - name: "Beveiligingsnieuws" url: "/category/beveiligingsnieuws.md" --- # Palo Alto VPN lek: patch én logcontrole **29 mei**opname in CISA’s KEV-catalogus, 2026 **19 oktober**gedateerde update met ransomwareactiviteit, 2026 **4443 / 3879**extra beheerpoorten genoemd door Unit 42 Op 29 mei 2026 kwam het Palo Alto VPN lek CVE-2026-0257 op CISA’s lijst van actief misbruikte kwetsbaarheden. De oktoberupdate van Unit 42 meldt inmiddels misbruik door ransomwaregroepen. Wie alleen een update afvinkt, laat de vraag liggen of er al iemand binnenkwam. Bij een [human firewall](https://humanfirewall.nl/) horen ook beheerders die een verdachte sessie doorzetten naar incidentrespons. Hieronder controleer je afzonderlijk de patch en een logsignaal. De hulp verwerkt alleen de velden die je invult, op je eigen apparaat. Een patch en een incident beantwoorden andere vragen**Patchcontrole**Is de kwetsbare software gerepareerd? **Logonderzoek**Was er eerder een verdachte geslaagde sessie? ## Raakt het Palo Alto VPN lek jouw configuratie? Het [NCSC-advies van 30 mei](https://advisories.ncsc.nl/2026/ncsc-2026-0172.html) noemt een combinatie: hergebruikte certificaten én ingeschakelde opties voor authentication override cookies. Een aanvaller kan dan zonder geldige aanmelding een VPN-verbinding opzetten. Alleen vaststellen dat MFA aanstaat, beantwoordt die configuratievraag niet. Vergelijk de volledige PAN-OS-versie, inclusief hotfixnummer, met de producttabel van Palo Alto Networks (bijgewerkt 3 juni 2026). De tabel hier toont vaste referentieversies per hoofdreeks. Eerdere versies kunnen óók een reparatie bevatten; een lager nummer in deze verkorte tabel betekent dus niet automatisch kwetsbaar. Prisma Access vraagt een eigen controle. PAN-OS-reeksReferentie met reparatie voor dit lek12.112.1.711.211.2.1211.111.1.1510.210.2.18-h6 ## Past je logsignaal bij de gepubliceerde indicatoren? Neem event, resultaat en host-ID of bron-IP over uit je GlobalProtect-log. Plak geen volledig logbestand. De vergelijking gebruikt de indicatoren uit Unit 42’s threat brief van 20 oktober 2026. Het is geen netwerkscan en geen volledige incidentanalyse. GlobalProtect-logsignaal · vergelijking op je apparaat EventKies het eventgateway-connectedgateway-authAnder eventResultaatKies het resultaatsuccessfailureOnbekendHost-ID of apparaatnaamBron-IP (IPv4, optioneel) Vul minstens een host-ID of IP in. De IP-lijst betreft activiteit vóór publicatie van de aanvalscode; een nieuwe aanvaller kan andere waarden gebruiken. Vergelijk logsignaalVul een bronvoorbeeld inWis invoer **Er is nog geen vergelijking gemaakt.**Een match vraagt onderzoek. Geen match bewijst niet dat je omgeving schoon is. Voor de vergelijking is JavaScript nodig. Controleer zonder JavaScript in je eigen logzoeker op succesvolle gateway-connected-events met de indicatoren uit de threat brief. ## Patch klaar is een te vroeg gesloten incident Unit 42 beschrijft in de oktoberupdate een aanval die vanaf de VPN naar vCenter ging. Aanvallers schakelden ESXi-beveiliging uit en haalden inloggegevens uit de virtuele schijf van een domeincontroller. Beveiliging ín die virtuele machine ziet zo’n uitlezing van buitenaf niet vanzelf. Dat maakt “bijgewerkt” een slechte eindstatus voor het incident. Het NCSC adviseert naast updates ook controle op indicatoren. Verbind een gevonden sessie aan onderzoek naar het bereikbare interne netwerk. Onze uitleg over [ransomware](https://humanfirewall.nl/ransomware) beschrijft waarom het losgeldscherm pas laat zichtbaar wordt. Maar een verdachte apparaatnaam bewijst op zichzelf geen inbraak. Namen kunnen samenvallen en de gepubliceerde lijst is onvolledig. Zelfs een geslaagde authenticatie bewijst nog geen opgebouwde tunnel. Zoek daarom naar event én resultaat, en laat de context beoordelen. Beschreven route in de oktoberupdate**GlobalProtect**Eerste toegang via de VPN **vCenter en ESXi**Toegang tot de virtualisatielaag **Virtuele schijf**Inloggegevens buiten de gastmachine uitgelezen ## Welke datum en welk logevent tellen? De [KEV-gegevens van CISA](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) vermelden 29 mei 2026 als opnamedatum en bekend gebruik in ransomwarecampagnes. Unit 42 noemt in de samenvatting 13 mei als KEV-datum. Voor die datum volgt deze pagina de catalogusbeheerder zelf. In dezelfde threat brief staat bovenaan nog een oudere passage zonder waargenomen verdere verspreiding. De update van 19 oktober beschrijft die juist wel. De update van 20 oktober noemt ook onbedoeld openbare beheerinterfaces op poorten 4443 en 3879. Dat is een aparte configuratiecontrole. Lees de gedateerde update; de eerdere waarneming is geen actuele geruststelling. Voor logonderzoek noemt Unit 42 succesvolle `gateway-connected`-events met verdachte host-ID’s of apparaatnamen, ongeacht het bron-IP. De bronversies naast elkaar**CISA: 29 mei**Officiële opnamedatum in KEV **Unit 42: 19 oktober**Update beschrijft verdere verspreiding **Unit 42: 20 oktober**Waarschuwing voor beheerpoorten 4443 en 3879 ## Welke bewijzen vraag je vóór je betaalt voor herstel? 1. Vraag je beheerpartner om de volledige versies van alle betrokken portals en gateways, met de vergelijking tegen de actuele makerstabel. De maker waarschuwt voor cookieproblemen bij een gedeeltelijke upgrade. 2. Laat de onderzochte periode, logdekking en gevonden VPN-sessies vastleggen. Bij een succesvolle gateway-connected-match: activeer incidentrespons en bewaar de oorspronkelijke gebeurtenissen. 3. Vraag welk onderzoek naar interne toegang nodig is en wie dat uitvoert. Een factuur voor de update vervangt geen onderbouwde incidentafsluiting. De [WannaCry-lessen over patchbeheer en segmentering](https://humanfirewall.nl/wannacry-les-voor-organisaties) passen hier: wijs iemand aan die de controle afrondt. Bij een volgende update van Unit 42 kunnen indicatoren veranderen. De lokale vergelijking hieronder blijft gebaseerd op de bronversie van 20 oktober; herhaal aanvullend onderzoek met de actuele threat brief. Bronnen: Palo Alto Networks beveiligingsadvies, 3 juni 2026; Unit 42, bijgewerkt 20 oktober 2026; Dutch IT Channel, 21 oktober 2026; NCSC en CISA, geraadpleegd 21 oktober 2026. ## Een patch sluit een verdachte VPN-sessie niet af. Vergelijk het logsignaal en bespreek de uitkomst met je incidentverantwoordelijke. [Naar de logvergelijking](#logcontrole)