Изследовател по сигурността разкри пет уязвимости, които отговорно е докладвал на Palo Alto Networks, засягащи GlobalProtect – VPN клиента и агента за крайни точки, използван в хиляди корпоративни мрежи по целия свят.
Разкриването, публикувано чрез специализиран изследователски сайт, отново разпали дебата за това как доставчиците управляват докладите за уязвимости, дори когато изследователите спазват нормите за координирано оповестяване.
Според изследователя Мартейн ван Рамесдонк, петте проблема първоначално са били изпратени на Palo Alto Networks в началото на април 2026 г., като два от тях впоследствие са били обединени в CVE-2026-0251 – набор от пропуски за локално ескалиране на привилегии в приложението GlobalProtect.
Собственото становище на Palo Alto потвърждава, че грешките позволяват на локален потребител с ниски привилегии да ескалира правата си до NT AUTHORITY\SYSTEM под Windows и до root под macOS и Linux. Това дава на атакуващ, който вече има достъп до крайна точка, възможността да изпълнява произволни команди с пълен административен контрол.
Националната база данни за уязвимости (NVD) определя базова оценка по CVSS 3.1 от 7.8, което отразява сериозността на локалното ескалиране на привилегии при толкова широко разпространен VPN клиент.
Освен ескалирането на привилегии, изследователят твърди, че работата му е разкрила и метод за възстановяване на паролата за Active Directory на потребителя директно от крайната точка чрез злоупотреба с привилегировани компоненти на GlobalProtect – откритие с много по-преки последици за корпоративната инфраструктура за идентичност в сравнение с типичен локален експлойт.
Това, което прави този случай забележителен, е не само техническата сериозност, но и разказът на изследователя за самия процес на оповестяване. Той споделя, че двете уязвимости зад CVE-2026-0251 първоначално са били коригирани от Palo Alto Networks без никакво уведомяване до него и без признание в съпътстващото становище, което го е накарало да реагира публично.
Други две уязвимости според информацията са били счетени за извън обхвата на програмата на доставчика за награждаване за открити грешки (bug bounty), докато петата остава без корекция за сигурност и не е разкрита, докато работата по отстраняването ѝ продължава.
Изследователят описва обмен на повече от 40 имейла с екипа за реагиране при инциденти с продуктовата сигурност (PSIRT) на Palo Alto и множество пропуснати или променящи се срокове за разкриване, разтеглени в продължение на няколко месеца – процес, който той характеризира като симптом на нарушен модел на координация, а не като технически провал.
Четири експлойта с доказателство за концепцията (PoC), свързани с разкритите пропуски, вече са публично достъпни, докато петият се пази в тайна до издаването на официално обновяване от Palo Alto Networks. Засегнатите версии обхващат множество клонове на GlobalProtect 6.0, 6.2 и 6.3 под Windows, macOS и Linux, като Palo Alto е публикувала коригирани версии за всеки от тях, въпреки че доставчикът заявява, че не му е известно за активно експлоатиране на уязвимостите в реални условия.
Софтуерът за крайни точки и VPN заема привилегирована позиция в корпоративните мрежи, като често се свързва директно с Active Directory и системите за идентичност. Това прави грешките, свързани с локално ескалиране на привилегии и възстановяване на идентификационни данни в тези продукти, непропорционално опасни в сравнение с пропуските в приложения с по-ниско ниво на доверие.
По-широкият извод на изследователя – че изкуственият интелект ускорява откриването на уязвимости по-бързо, отколкото доставчиците могат да ги валидират, да отстраняват уязвимостите и да отдават признание за откритията – сочи към очертаващо се тясно място: намирането на грешки става по-лесно, но отговорното, добре координирано оповестяване все още зависи от човешката преценка, зрелите вътрешни процеси и отговорността, които никаква автоматизация не може да замени.