Aktualizované: Palo Alto Networks vydal časť opráv PAN-OS pre chybu Brotli
Palo Alto Networks sprístupnil šesť hotfixov PAN-OS pre CVE-2026-111497. Pre tri ďalšie vetvy výrobca naďalej uvádza termíny ETA.
Opravy PAN-OS Brotli pre zraniteľnosť CVE-2026-111497 sú už čiastočne dostupné. Palo Alto Networks 28. októbra 2026 aktualizoval bezpečnostný advisory a potvrdil vydanie šiestich hotfixov pre firewally PA-Series a VM-Series v dotknutých konfiguráciách. Ďalšie tri opravy zatiaľ ostávajú iba v režime plánovaných termínov ETA.
Chyba súvisí so spracovaním útočníkom ovládaných dát komprimovaných formátom Brotli. Red Hat ju opisuje ako out-of-bounds write. Expozícia sa týka iba zariadení so zapnutou kontrolou Brotli a TLS/SSL dešifrovaním v dátovej rovine.
Opravy PAN-OS Brotli sú dostupné pre šesť verzií
Výrobca uvádza dostupnosť nasledujúcich opravených verzií:
- PAN-OS 12.2.4-h1,
- PAN-OS 12.1.7-h11,
- PAN-OS 11.2.10-h17,
- PAN-OS 11.2.7-h23,
- PAN-OS 11.2.13-h4,
- PAN-OS 11.2.16-h1.
Správcovia používajúci tieto vetvy by mali namiesto spoliehania sa na dočasné opatrenia prejsť na príslušný hotfix a overiť jeho nasadenie vo vlastnom prostredí. Samotná prítomnosť PAN-OS však neznamená automatickú expozíciu: potrebné sú uvedené podmienky v dátovej rovine.
Tri hotfixy majú stále len termín ETA
Pre ďalšie vetvy Palo Alto Networks zatiaľ neoznámil dostupnosť opráv zákazníkom. Advisory uvádza ETA pre PAN-OS 12.1.4-h13 na 29. októbra 2026 a pre PAN-OS 12.1.10-h3 a 11.2.4-h23 na 30. októbra 2026.
Termín ETA nie je potvrdením, že hotfix už možno stiahnuť alebo nasadiť. Organizácie na týchto verziách by preto mali sledovať advisory výrobcu a po vydaní overiť konkrétnu dostupnú zostavu pre svoju vetvu.
Threat ID 97686 už nie je uvádzaný ako mitigácia
Aktualizované advisory odstránilo z časti mitigácií odkaz na Threat ID 97686. Toto ID preto už nemožno prezentovať ako čiastočné pokrytie zraniteľnosti CVE-2026-111497. Pre správcov je podstatné rozlišovať medzi vydanými opravami, nevydanými hotfixmi s ETA a konfiguráciami, ktoré spĺňajú podmienky expozície.
Palo Alto Networks naďalej uvádza, že nemá informácie o známom škodlivom zneužití tejto chyby proti svojim produktom. Ide o vyjadrenie výrobcu k jeho produktom, nie o všeobecné potvrdenie absencie útokov proti iným produktom využívajúcim zraniteľnú knižnicu Brotli.
Nie je verejne potvrdené, koľko nasadení PA-Series a VM-Series má súčasne zapnutú kontrolu Brotli a TLS/SSL dešifrovanie, takže rozsah potenciálne exponovaných zariadení nie je známy. Ďalšie aktualizácie advisora budú dôležité najmä pre vydanie troch zostávajúcich hotfixov, prípadné rozšírenie zoznamu dotknutých produktov a zmenu stavu zneužívania.
Zdroje
- Palo Alto Networks Security Advisory – CVE-2026-111497 – Potvrdzuje vydané hotfixy, zostávajúce ETA, podmienky expozície, odstránenie Threat ID 97686 z mitigácií a výrobcom uvádzaný stav zneužívania.
- Red Hat CVE record – CVE-2026-111497 – Nezávisle opisuje chybu Brotli ako out-of-bounds write vyžadujúcu spracovanie útočníkom ovládaných Brotli dát.
Overené a aktualizované: 28. 10. 2026 14:10
