개요
Palo Alto Networks는 공급한 여러 제품의 취약점을 해결하는 보안 업데이트를 발표했다. 대상에는 Cloud NGFW, PAN-OS, Prisma Access, WildFire WF-500 and WF-500-B, GlobalProtect App, Prisma Access Agent, Prisma SD-WAN ION, Trust Protection Foundation, Chronosphere Chronocollector, Prisma Browser가 포함된다.
해결된 취약점
주요 취약점은 다음과 같다.
- Cloud NGFW, PAN-OS, Prisma Access에서 CAS 활성화 시 인증 없이 접근 가능한 인증 우회 취약점(CVE-2026-0265, CVSS 9.2)이 확인됐다.
- Cloud NGFW, PAN-OS, Prisma Access에서 임의 코드 실행 취약점(CVE-2026-0264, CVSS 9.2)과 또 다른 임의 코드 실행 취약점(CVE-2026-0263, CVSS 9.2)이 확인됐다.
- Cloud NGFW, PAN-OS, Prisma Access에서 데이터플레인 인터페이스 취약점(CVE-2026-0262, CVSS 8.7), 루트 사용자가 노출되는 취약점(CVE-2026-0261, CVSS 8.6), 서비스 거부(DoS) 취약점(CVE-2026-0258, CVSS 8.3), 인증 없이 VPN 접속이 가능한 인증 우회 취약점(CVE-2026-0257, CVSS 7.8), 웹 인터페이스의 자바스크립트 페이로드 취약점(CVE-2026-0256, CVSS 6.9)이 포함됐다.
- WildFire WF-500 and WF-500-B에서 임의 파일 읽기 및 삭제가 가능한 취약점(CVE-2026-0259, CVSS 7.1)이 확인됐다.
- GlobalProtect App에서 로컬 사용자가 시스템 최고 권한으로 접근할 수 있는 취약점(CVE-2026-0251, CVSS 8.5), 악성 코드가 실행될 수 있는 취약점(CVE-2026-0250, CVSS 7.7), 암호화된 통신이 가로채질 수 있는 취약점(CVE-2026-0249, CVSS 7.6)이 확인됐다.
- Prisma Access Agent에서 통신 내용 탈취 가능 취약점(CVE-2026-0248, CVSS 8.6), Prisma Access Agent (Endpoint DLP)에서 접근 제한 우회 취약점(CVE-2026-0247, CVSS 8.5), 일반 사용자의 최고 권한 접근 취약점(CVE-2026-0246, CVSS 8.5), 민감한 설정 정보와 계정 정보 노출 취약점(CVE-2026-0245, CVSS 6.8)이 확인됐다.
- Prisma SD-WAN ION에서 장비 간 통신 위조 취약점(CVE-2026-0244, CVSS 7.7)과 조작된 네트워크 패킷으로 문제가 발생할 수 있는 취약점(CVE-2026-0243, CVSS 7.1)이 확인됐다.
- Trust Protection Foundation에서 데이터베이스 명령 임의 실행 취약점(CVE-2026-0242, CVSS 8.6), 접근 권한 우회 취약점(CVE-2026-0241, CVSS 7.2), 내부 민감 정보 노출 취약점(CVE-2026-0240, CVSS 7.4)이 확인됐다.
- Chronosphere Chronocollector에서 인증 없이 중요한 정보를 확인할 수 있는 취약점(CVE-2026-0239, CVSS 7.1)이 확인됐다.
- Prisma Browser에는 외부 브라우저 보안 취약점이 포함된 문제(PAN-SA-2026-0007, CVSS 8.6)가 제공됐다.
취약점 패치
패치 정보도 함께 공개됐다. Cloud NGFW, PAN-OS, Prisma Access, WildFire WF-500 and WF-500-B, GlobalProtect App, Prisma Access Agent, Prisma SD-WAN ION, Trust Protection Foundation, Chronosphere Chronocollector, Prisma Browser에 대해 제품별 수정 버전이 제시됐으며, 일부 버전은 ETA가 05/28, 06/04, 05/20으로 안내됐다. 해당 제품 사용자는 공지된 최신 버전으로 업데이트해야 한다.