CVE-2026-0257：PAN-OS GlobalProtect 認證繞過漏洞遭大規模積極利用
Palo Alto Networks Security Advisory · 2026-05-17 揭露，CISA KEV 截止 2026-06-01
Palo Alto Networks 於 2026 年 5 月發布 CVE-2026-0257 安全公告，CVSS 評分 9.1（Critical）。此漏洞影響 PAN-OS 的 GlobalProtect portal 與 gateway 元件，允許未授權攻擊者繞過認證、建立未授權 VPN 連線。Rapid7 MDR 確認首波利用發生於公告後數日，CISA 已將其列入 KEV 目錄，要求聯邦機構於 6 月 1 日前修補。
漏洞機制
根本原因在於 GlobalProtect portal 與 gateway 對 authentication override cookie 的驗證方式：當 HTTPS 服務憑證與用於簽署 override cookie 的憑證為同一張時，攻擊者可從伺服器的 TLS 握手中取得公鑰，進而偽造有效的認證 override cookie（CWE-565：依賴未驗證 cookie）。
攻擊流程：
- 從目標的 GlobalProtect portal/gateway 公開端點取得 TLS 憑證。
- 使用 PoC 工具提取憑證中的公鑰，生成格式合法的 override cookie。
- 將偽造 cookie 提交至 VPN 端點，完成未授權登入。
受影響版本
- PAN-OS 11.2（GlobalProtect portal/gateway 啟用時）
- PAN-OS 11.1、11.0、10.2
- 僅在 authentication override cookies 啟用且與 HTTPS 服務使用相同憑證時易受攻擊
利用現況
Rapid7 觀察到兩波利用：第一波發生於 5 月 17 日（漏洞公開後數日），第二波於 5 月 21 日，兩波均可能源自同一威脅行為者，源 IP 關聯 Vultr 與 Dromatics Systems 的 VPS。確認受害環境超過 220 個客戶環境。
修補與緩解
- 立即緩解：為 GlobalProtect portal 與 gateway 使用不同憑證（使 override cookie 簽署憑證無法從 TLS 握手推導），或停用 authentication override cookie 功能。
- 永久修補：升級至 PAN-OS 修補版本（各受影響版本的具體版號詳見官方公告）。
- runZero 等資產管理工具已可在網路掃描中識別開放 GlobalProtect 服務的系統。
CVE-2026-42897：Microsoft Exchange OWA 零日 XSS 遭野外利用，無永久補丁
Microsoft MSRC / SecurityWeek · 2026-05-19
CVE-2026-42897 是 Microsoft Exchange Server Outlook Web Access（OWA）中一個已被積極利用的 XSS 零日漏洞，CVSS 評分 8.1（High）。Microsoft 於 2026 年 5 月 Patch Tuesday（138 個漏洞）發布後兩天才對外確認此漏洞存在，目前仍無永久修補程式，僅有臨時緩解措施。
漏洞機制
漏洞類型為反射式 XSS（Reflected XSS），觸發路徑：攻擊者構造一封包含特製 HTML 內容的電子郵件，收件人在 OWA 中開啟後，攻擊者提供的 JavaScript 在收件人的已認證瀏覽器 session 中執行。執行後可達成：
- Session token 竊取（session hijacking）
- 信箱模擬（mailbox impersonation）
- 惡意郵件轉發規則設置（email rule manipulation）
攻擊者全程不需要接觸 Exchange 伺服器本身，攻擊面僅在用戶端瀏覽器。
受影響版本
- Exchange Server 2016（所有 CU）
- Exchange Server 2019（所有 CU）
- Exchange Server Subscription Edition（SE）
- Exchange Online（Microsoft 365）不受影響，Microsoft 已在雲端側修補。
修補與緩解
Microsoft 尚未發布正式補丁，現有臨時緩解措施包含：
- 透過 IIS URL Rewrite 或 WAF 規則過濾特定 OWA 路徑的 Content-Type。
- 啟用 Exchange Emergency Mitigation Service（EEMS），Microsoft 透過此服務推送自動緩解規則。
- 審查並強化 OWA 的 Content Security Policy（CSP）標頭。
NIST NVD 對此漏洞評為中等嚴重（6.1），與 Microsoft 自評的 8.1 存在顯著差距，原因在於 NVD 的評分模型對需要用戶互動的 XSS 存在折扣。實際被利用案例顯示其影響接近 Microsoft 的評估。