Palo Alto Networks ha aggiornato il 12 settembre 2026 quattro advisory che riguardano GlobalProtect App. Le vulnerabilità non hanno tutte lo stesso impatto e non colpiscono tutte le piattaforme allo stesso modo, ma per Windows, macOS e Linux esistono combinazioni di versione che richiedono un aggiornamento. Per CVE-2026-0297, CVE-2026-0298 e CVE-2026-0299 un attaccante può arrivare, in scenari differenti, a esecuzione di codice o privilegi elevati.
La priorità pratica è inventariare la versione GlobalProtect installata, verificare il sistema operativo e confrontare il client con le release corrette indicate da Palo Alto Networks. Non risultano campagne di sfruttamento malevolo confermate negli advisory al momento della verifica, ma alcune correzioni sono già disponibili e altre hanno una data prevista.
Le quattro vulnerabilità GlobalProtect da distinguere
| CVE | Problema | Piattaforme principali | Impatto |
|---|---|---|---|
| CVE-2026-0296 | Validazione impropria dei certificati | Windows, macOS, Linux | Intercettazione o modifica di comunicazioni applicative in scenario MitM; il traffico del tunnel VPN non è indicato come coinvolto |
| CVE-2026-0297 | Buffer overflow durante UDP tunnel handshake | Windows, macOS, Linux, iOS, Android, ChromeOS | Interruzione di processi e possibile esecuzione di codice con privilegi elevati |
| CVE-2026-0298 | Input validation nel componente PLAP | Solo Windows | Possibile esecuzione di codice con privilegi SYSTEM da parte di un attaccante MitM |
| CVE-2026-0299 | Escalation locale dei privilegi | Windows, macOS, Linux | Un utente locale a basso privilegio può arrivare a SYSTEM o root |
Le quattro advisory sono classificate come Medium da Palo Alto Networks, ma il numero da solo non descrive il rischio operativo. CVE-2026-0297 può coinvolgere più sistemi operativi, CVE-2026-0298 è specifica del Pre-Logon Access Provider di Windows, mentre CVE-2026-0299 richiede già un accesso locale a basso privilegio.
GlobalProtect 6.3: quali versioni sono corrette
Per Windows e macOS, le advisory aggiornate indicano come soglia corretta GlobalProtect 6.3.3-h14, build 6.3.3-1121, per le vulnerabilità che riguardano queste piattaforme. Su Linux la situazione è diversa: per CVE-2026-0296, CVE-2026-0297 e CVE-2026-0299 Palo Alto Networks indica 6.3.3-h15, con disponibilità prevista per il 17 settembre 2026.
Per iOS, Android e ChromeOS, CVE-2026-0297 interessa le versioni 6.1 fino a 6.3.4 e la release indicata come corretta è 6.3.5 o successiva. Le altre CVE hanno perimetri differenti e non tutte coinvolgono i sistemi mobili.
GlobalProtect 6.2: attenzione soprattutto a Linux
Su Windows e macOS, GlobalProtect 6.2 deve essere portato almeno a 6.2.8-h13, build 6.2.8-1045 per le vulnerabilità interessate. Per Linux, invece, gli advisory del 12 settembre indicano ancora tutte le versioni 6.2 come coinvolte da CVE-2026-0296, CVE-2026-0297 e CVE-2026-0299, senza una release 6.2 corretta elencata.
Se un’organizzazione usa il ramo 6.2 su Linux, quindi, non va presunto che restare sulla stessa minor release sia sufficiente. Serve seguire il percorso di upgrade supportato da Palo Alto Networks e verificare la disponibilità del ramo 6.3 corretto per Linux.
GlobalProtect 6.0: la correzione è prevista più avanti
Per il ramo 6.0, Palo Alto Networks indica 6.0.15 come versione corretta per le CVE applicabili. Negli advisory aggiornati il rilascio è indicato con una disponibilità prevista al 29 ottobre 2026.
Questo rende importante una valutazione di migrazione. Se il client è ancora su 6.0 e il contesto permette di passare a un ramo supportato con fix già disponibile, attendere fino a fine ottobre può non essere la scelta migliore. La decisione va però presa rispettando le matrici di compatibilità del proprio ambiente VPN e le policy aziendali.
CVE-2026-0298: perché riguarda solo Windows con PLAP
CVE-2026-0298 interessa il componente Windows Pre-Logon Access Provider, PLAP. Palo Alto Networks spiega che un attaccante in posizione man-in-the-middle può sfruttare una validazione insufficiente dell’input per arrivare a eseguire codice arbitrario con privilegi SYSTEM sul client interessato.
Linux, macOS, iOS, Android e ChromeOS non risultano coinvolti da questa specifica CVE. Per Windows, le soglie indicate sono 6.3.3-h14 per il ramo 6.3 e 6.2.8-h13 per il ramo 6.2; sul ramo 6.0 la correzione è prevista in 6.0.15.
CVE-2026-0297: la falla con il perimetro più ampio
CVE-2026-0297 è un buffer overflow durante l’handshake del tunnel UDP. Un attaccante MitM o un gateway malevolo può interrompere processi di sistema e, secondo l’advisory, arrivare potenzialmente a esecuzione di codice con privilegi elevati.
Questa è la vulnerabilità che richiede più attenzione nell’inventario multipiattaforma perché coinvolge Windows, macOS, Linux, iOS, Android e ChromeOS, con soglie di correzione differenti. Palo Alto Networks dichiara di non essere a conoscenza di sfruttamento malevolo al momento dell’aggiornamento del bollettino.
CVE-2026-0299: escalation locale a SYSTEM o root
CVE-2026-0299 è una vulnerabilità di escalation locale dei privilegi. Un utente non amministratore che ha già accesso al sistema può ottenere privilegi amministrativi, fino a NT AUTHORITYSYSTEM su Windows o root su macOS e Linux.
Non è quindi un accesso remoto non autenticato, ma in una catena di attacco può diventare importante dopo un primo foothold. Anche in questo caso l’azione corretta è verificare il ramo GlobalProtect e portare il client alla release corretta.
CVE-2026-0296: cosa significa per la validazione dei certificati
CVE-2026-0296 riguarda la validazione impropria dei certificati. Un attaccante non autenticato con capacità MitM può intercettare e modificare alcune comunicazioni dell’applicazione. Palo Alto Networks precisa che il traffico del tunnel VPN non è coinvolto da questa specifica vulnerabilità.
Anche qui la remediation dipende dal ramo e dalla piattaforma: non esiste un numero di versione unico valido per ogni sistema operativo.
Come fare il controllo senza aggiornare alla cieca
- Inventaria i client GlobalProtect e separali per Windows, macOS, Linux, iOS, Android e ChromeOS.
- Rileva ramo e build completa, non soltanto 6.2 o 6.3.
- Confronta la build con le tabelle Palo Alto Networks delle CVE applicabili alla piattaforma.
- Prioritizza Windows con PLAP per CVE-2026-0298 e i client multipiattaforma coinvolti da CVE-2026-0297.
- Verifica compatibilità e percorso di upgrade prima di una distribuzione aziendale su larga scala.
- Conferma la versione dopo l’aggiornamento tramite MDM, EDR, inventory software o controllo locale.
Non serve trasformare il caso in allarme generalizzato: le vulnerabilità non hanno exploit malevoli confermati negli advisory e richiedono condizioni differenti. Ma lasciare client sotto le soglie già corrette non ha vantaggi se l’upgrade è supportato e testato.
Il cluster di rischio: VPN e appliance perimetrali
GlobalProtect rientra nello stesso perimetro operativo di altri prodotti VPN e sicurezza che devono essere gestiti con inventario e patch tempestive. Su Tech abbiamo seguito anche FortiGate e CVE-2025-25249, dove il rischio è più alto perché esiste sfruttamento attivo, e il caso Cisco FMC con CVE-2026-20079.
Il principio resta lo stesso: prima inventario, poi versione corretta, poi verifica del risultato. Se esiste evidenza di compromissione, la patch non sostituisce una procedura di incident response.
Cosa fare oggi
Se amministri GlobalProtect, controlla oggi stesso i client Windows e macOS sotto 6.3.3-h14 o 6.2.8-h13 e verifica il percorso previsto per Linux. Per i dispositivi mobili coinvolti da CVE-2026-0297, porta i client 6.1/6.3 almeno a 6.3.5 quando applicabile. Sul ramo 6.0 pianifica la migrazione o monitora il rilascio 6.0.15 previsto da Palo Alto Networks.
Non tutte le CVE si applicano a tutti i client, ma una flotta non inventariata rende impossibile sapere quali endpoint siano realmente esposti. Il controllo più utile non è quindi cercare il numero CVE sul singolo PC: è avere un inventario affidabile delle build GlobalProtect e portarle ai livelli corretti per piattaforma.
