CVE-2026-0257 adalah celah authentication bypass pada GlobalProtect portal/gateway di Palo Alto PAN-OS yang memungkinkan attacker remote tanpa kredensial membuat koneksi VPN tidak sah pada perangkat dengan konfigurasi rentan. Advisory ini dipublikasikan pada 13 Mei 2026 dan diperbarui pada 29 Mei 2026 setelah Palo Alto serta Rapid7 melaporkan eksploitasi aktif pada perangkat yang belum di-patch, dengan observasi paling awal pada 17 Mei 2026.  Severity: High

Attacker memanfaatkan authentication override cookies yang aktif dan sertifikat yang dipakai ulang dengan layanan HTTPS; public key dari sertifikat tersebut dapat diambil untuk memalsukan cookie, lalu GlobalProtect menerima cookie itu tanpa validasi integritas/signature yang memadai sehingga attacker bisa login tanpa kredensial valid dan membangun sesi VPN tidak sah.

GlobalProtect portal/gateway pada PAN-OS 10.2, 11.1, 11.2, dan 12.1 serta Prisma Access 10.2/11.2 yang belum berada pada fixed release vendor, khususnya bila Authentication Override aktif dan sertifikat untuk cookie override dipakai bersama fitur lain seperti HTTPS; Panorama dan Cloud NGFW tidak terdampak.

1. Segera upgrade ke fixed release/hotfix resmi Palo Alto yang sesuai dengan branch, misalnya 12.1.7+, 11.2.12+, 11.1.15+, 10.2.18-h6+ atau hotfix branch-specific lain yang direkomendasikan vendor.
2. Nonaktifkan fitur Authentication Override pada GlobalProtect portal dan gateway bila tidak benar-benar dibutuhkan.
3. Gunakan sertifikat khusus yang terpisah untuk Authentication Override cookies dan jangan reuse sertifikat portal/gateway HTTPS untuk fitur tersebut.