CVE-2026-0299 – Nejzávažnější zranitelnost bulletinu

Tato zranitelnost (CWE-426 – nedůvěryhodná cesta pro vyhledávání) umožňuje lokální eskalaci oprávnění v aplikaci GlobalProtect . Útočník, který má již přístup k systému (např. jako běžný uživatel), může získat oprávnění NT AUTHORITY\SYSTEM na Windows a root na macOS a Linuxu, což mu umožňuje spouštět libovolné příkazy s administrátorskými právy .

Skóre podle CVSS:

• CVSS-B (základní): 8,5 (Vysoké) – CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
• CVSS-BT (upravené o hrozby): 5,9 (Střední) – odráží fakt, že zatím není známo aktivní zneužívání

Postižené verze a dostupné záplaty

Další zranitelnosti v GlobalProtect (CVE-2026-0298)

• Typ: Nesprávné ověření vstupu v komponentě Windows Pre-Logon Access Provider (PLAP) .
• Dopad: Útočník v pozici man-in-the-middle může spustit libovolný kód s oprávněním SYSTEM na Windows .
• Záplata je součástí stejných opravených verzí GlobalProtect App uvedených výše .

Zranitelnosti v Prisma Access Agent (4 CVE)

Doporučené kroky pro správce

1. Ihned aktualizujte GlobalProtect App – Aplikujte opravené verze uvedené v tabulce pro jednotlivé platformy a verze. Prioritně řešte Windows a macOS, kde jsou záplaty již k dispozici. Pro Linux verze 6.3 a 6.0 naplánujte instalaci záplat, jakmile budou vydány koncem srpna .
2. Aktualizujte Prisma Access Agent – Nainstalujte připravované opravy (CVE-2026-0294 je plánována na 20. srpna; ostatní CVE budou následovat v běžném cyklu aktualizací) .
3. Neexistují žádná dočasná řešení – Palo Alto Networks výslovně uvádí, že pro CVE-2026-0299 neexistuje žádná jiná možnost ochrany než instalace záplaty .
4. Ověřte, zda nedošlo k napadení – Dodavatel nehlásí žádné aktivní zneužívání, ale vzhledem k vysokému skóre CVSS-B (8,5) a dopadu (SYSTEM/root) je vhodné záplaty aplikovat proaktivně .
5. Sledujte oficiální bulletiny Palo Alto Networks – Průběžně kontrolujte stránky s bezpečnostními oznámeními pro CVE-2026-0299, CVE-2026-0298 a CVE pro Prisma Access Agent kvůli případným změnám v harmonogramu vydání záplat .

CVE-2026-0299 – Nejzávažnější zranitelnost bulletinu

Tato zranitelnost (CWE-426 – nedůvěryhodná cesta pro vyhledávání) umožňuje lokální eskalaci oprávnění v aplikaci GlobalProtect . Útočník, který má již přístup k systému (např. jako běžný uživatel), může získat oprávnění NT AUTHORITY\SYSTEM na Windows a root na macOS a Linuxu, což mu umožňuje spouštět libovolné příkazy s administrátorskými právy .

Skóre podle CVSS:

• CVSS-B (základní): 8,5 (Vysoké) – CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
• CVSS-BT (upravené o hrozby): 5,9 (Střední) – odráží fakt, že zatím není známo aktivní zneužívání

Postižené verze a dostupné záplaty

Další zranitelnosti v GlobalProtect (CVE-2026-0298)

• Typ: Nesprávné ověření vstupu v komponentě Windows Pre-Logon Access Provider (PLAP) .
• Dopad: Útočník v pozici man-in-the-middle může spustit libovolný kód s oprávněním SYSTEM na Windows .
• Záplata je součástí stejných opravených verzí GlobalProtect App uvedených výše .

Zranitelnosti v Prisma Access Agent (4 CVE)

Doporučené kroky pro správce

1. Ihned aktualizujte GlobalProtect App – Aplikujte opravené verze uvedené v tabulce pro jednotlivé platformy a verze. Prioritně řešte Windows a macOS, kde jsou záplaty již k dispozici. Pro Linux verze 6.3 a 6.0 naplánujte instalaci záplat, jakmile budou vydány koncem srpna .
2. Aktualizujte Prisma Access Agent – Nainstalujte připravované opravy (CVE-2026-0294 je plánována na 20. srpna; ostatní CVE budou následovat v běžném cyklu aktualizací) .
3. Neexistují žádná dočasná řešení – Palo Alto Networks výslovně uvádí, že pro CVE-2026-0299 neexistuje žádná jiná možnost ochrany než instalace záplaty .
4. Ověřte, zda nedošlo k napadení – Dodavatel nehlásí žádné aktivní zneužívání, ale vzhledem k vysokému skóre CVSS-B (8,5) a dopadu (SYSTEM/root) je vhodné záplaty aplikovat proaktivně .
5. Sledujte oficiální bulletiny Palo Alto Networks – Průběžně kontrolujte stránky s bezpečnostními oznámeními pro CVE-2026-0299, CVE-2026-0298 a CVE pro Prisma Access Agent kvůli případným změnám v harmonogramu vydání záplat .