--- title: "PAN-OS CVE-2024-3400, Celah Firewall Palo Alto" description: "CVE-2024-3400 memberi akses root tanpa login di firewall Palo Alto yang memakai GlobalProtect. Cek versi terdampak, hotfix, dan langkah pemeriksaannya." url: "https://nivelva.com/insight/pan-os-cve-2024-3400-celah-firewall-palo-alto" category: "Keamanan/Cyber Security" tags: ["pan-os","cve-2024-3400","palo alto","globalprotect","firewall"] author: "Lucas Tan" published: "2026-11-11T12:55:00+07:00" updated: "2026-11-11T12:55:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # PAN-OS CVE-2024-3400, Celah Firewall Palo Alto > **Jawaban singkat:** CVE-2024-3400 adalah celah command injection di fitur GlobalProtect PAN-OS 10.2, 11.0, dan 11.1 yang memungkinkan penyerang tanpa login menjalankan kode sebagai root di firewall. Celah ini sudah dieksploitasi sebelum patch. Perbaikannya berupa hotfix seperti 10.2.9-h1, 11.0.4-h1, dan 11.1.2-h3. CVE-2024-3400 adalah celah di sistem operasi firewall Palo Alto Networks (PAN-OS) yang membuat penyerang tanpa akun bisa menjalankan perintah apa pun sebagai root di perangkat. Celah ini ada di fitur GlobalProtect, layanan VPN yang memang sengaja dibuka ke internet agar karyawan bisa tersambung dari luar kantor. Kenapa ini penting? Firewall adalah penjaga gerbang jaringan. Kalau perangkat ini sendiri dikuasai penyerang, semua lalu lintas, kredensial VPN, dan akses ke jaringan internal ikut terancam. Celah ini juga sudah dipakai menyerang sebelum perbaikannya tersedia, sehingga masuk kategori zero-day. | Data | Nilai | |---|---| | ID | CVE-2024-3400 | | Tingkat bahaya | Kritis (CVSS 10.0) | | Produk terdampak | Palo Alto Networks PAN-OS (GlobalProtect) | | Versi terdampak | 10.2, 11.0, 11.1 sebelum hotfix | | Versi aman | 10.2.9-h1, 11.0.4-h1, 11.1.2-h3 dan hotfix lain per cabang | | Status | Patch tersedia | | Diumumkan | 12 April 2024 | | Detail | https://nvd.nist.gov/vuln/detail/CVE-2024-3400 | ## Apa yang terjadi pada April 2024? Celah ini ditemukan oleh Volexity saat menyelidiki aktivitas mencurigakan di firewall pelanggannya. Palo Alto Networks menerbitkan peringatan keamanan pada 12 April 2024, di hari yang sama CISA memasukkannya ke katalog Known Exploited Vulnerabilities. Unit 42, tim riset ancaman Palo Alto Networks, menamai aktivitas serangan awal ini Operation MidnightEclipse. Di hari-hari awal, hotfix belum tersedia untuk semua versi. Perbaikan dirilis bertahap, dan menurut catatan perubahan di halaman peringatan resmi, seluruh hotfix PAN-OS yang diperlukan tersedia pada 15 April 2024. Sesudah itu, contoh kode eksploit publik bermunculan dan jumlah serangan meningkat. ## Siapa yang terdampak? Syaratnya dua: versi PAN-OS tertentu dan fitur GlobalProtect yang aktif. - **Versi terdampak:** PAN-OS 10.2, 11.0, dan 11.1 sebelum hotfix yang disebut di tabel bawah. - **Konfigurasi:** firewall memiliki GlobalProtect gateway atau GlobalProtect portal. Cek di menu **Network > GlobalProtect** di antarmuka web. - **Tidak terdampak:** PAN-OS 10.1, 10.0, 9.1, 9.0, serta Cloud NGFW, perangkat Panorama, dan Prisma Access. Firewall VM-Series yang dikelola sendiri di cloud tetap bisa terdampak bila versi dan konfigurasinya memenuhi syarat di atas. Jangan lupa memeriksa perangkat cadangan atau perangkat di kantor cabang, karena versinya sering tertinggal dari perangkat utama. > **Mematikan telemetri bukan mitigasi:** > > Versi awal peringatan sempat menyebut mematikan device telemetry sebagai mitigasi sekunder. Palo Alto Networks kemudian meralatnya: telemetri tidak perlu aktif agar perangkat rentan, dan mematikannya bukan lagi mitigasi yang efektif. Kalau timmu sempat mengandalkan langkah ini, pastikan hotfix sudah dipasang. ## Versi perbaikan per cabang | Cabang PAN-OS | Hotfix yang menutup celah | |:--|:--| | 11.1 | 11.1.0-h3, 11.1.1-h1, 11.1.2-h3 | | 11.0 | 11.0.0-h3, 11.0.1-h4, 11.0.2-h4, 11.0.3-h10, 11.0.4-h1 | | 10.2 | 10.2.0-h3, 10.2.1-h2, 10.2.2-h5, 10.2.3-h13, 10.2.4-h16, 10.2.5-h6, 10.2.6-h3, 10.2.7-h8, 10.2.8-h3, 10.2.9-h1 | | 10.1 ke bawah | Tidak terdampak | Untuk firewall di Azure, nomor hotfix ditulis dengan tambahan angka 0, misalnya 11.1.2-h3 menjadi 11.1.203. Versi yang lebih baru dari daftar ini tentu juga sudah membawa perbaikan. ## Bagaimana celah ini bekerja? Palo Alto Networks menggambarkan celahnya sebagai command injection yang berawal dari kemampuan membuat file sembarang di fitur GlobalProtect. Secara sederhana, penyerang mengirim permintaan yang membuat perangkat menulis file dengan nama hasil rekayasa. Nama file itu kemudian ikut terproses oleh komponen lain di sistem yang menjalankan perintah, sehingga isinya dieksekusi dengan hak root. Karena tidak butuh login dan tidak butuh interaksi pengguna, nilai CVSS-nya maksimal 10.0. Penyerang juga tidak perlu menipu siapa pun, cukup mengirim permintaan ke alamat portal atau gateway VPN yang memang terbuka untuk umum. Semua perangkat yang memenuhi syarat dan menghadap internet bisa dipindai dan diserang secara otomatis. ## Langkah yang perlu dilakukan 1. **Cek versi dan konfigurasi.** Lihat versi PAN-OS di dasbor perangkat dan pastikan apakah GlobalProtect gateway atau portal aktif. 2. **Pasang hotfix** sesuai cabang yang dipakai, atau naik ke versi yang lebih baru dalam cabang yang didukung. 3. **Aktifkan perlindungan sementara bila belum bisa update.** Pelanggan dengan langganan Threat Prevention dapat menerapkan Threat ID 95187, 95189, dan 95191 pada profil vulnerability protection di antarmuka GlobalProtect. Ini hanya penahan, bukan pengganti hotfix. 4. **Periksa tanda penyusupan.** Halaman peringatan resmi menyediakan perintah CLI untuk mencari jejak percobaan eksploit, dan panduan mengumpulkan file dukungan teknis (TSF) untuk dianalisis. 5. **Pertimbangkan reset menyeluruh.** Untuk perangkat yang tidak segera ditambal atau dicurigai sudah disusupi, Palo Alto Networks menyediakan prosedur enhanced factory reset lewat tim dukungannya. Ada riset pihak ketiga yang menunjukkan cara bertahan setelah reset biasa dan upgrade, sehingga perangkat yang sudah dikuasai tidak cukup hanya diupdate. 6. **Ganti kredensial** yang tersimpan atau melewati perangkat, misalnya akun admin dan rahasia VPN, bila ada indikasi penyusupan. ## Apa pelajarannya untuk perangkat tepi jaringan? CVE-2024-3400 bukan kasus tunggal. Perangkat VPN, firewall, dan gateway akses jarak jauh dari berbagai vendor berulang kali menjadi sasaran, karena posisinya selalu terbuka ke internet dan jarang dipantau seketat server. Kasus [CitrixBleed 2 di NetScaler](https://nivelva.com/insight/citrixbleed-2-cve-2025-5777) memperlihatkan pola yang mirip. Ada beberapa alasan perangkat tepi menarik bagi penyerang. Perangkat ini jarang dipasangi agen keamanan seperti server biasa, lognya jarang dibaca, dan pembaruannya sering ditunda karena khawatir mengganggu koneksi seluruh kantor. Padahal sekali dikuasai, penyerang mendapat pijakan di batas jaringan yang dipercaya oleh semua perangkat di dalamnya. Karena itu, perangkat tepi layak masuk prioritas tertinggi dalam jadwal patch. Jadwalkan jendela pemeliharaan rutin agar pembaruan darurat tidak harus menunggu persetujuan panjang. Pantau [katalog KEV CISA](https://nivelva.com/insight/katalog-kev-cisa-prioritas-patch) untuk celah yang sudah dieksploitasi, dan pahami mengapa celah [zero-day](https://nivelva.com/insight/apa-itu-zero-day-patch-harus-cepat) menuntut respons dalam hitungan jam, bukan minggu. Untuk menimbang tingkat keparahan, panduan [membaca skor CVSS](https://nivelva.com/insight/cara-membaca-skor-cvss) bisa membantu. ## Pertanyaan yang sering diajukan ### Apakah firewall Palo Alto tanpa GlobalProtect aman dari celah ini? Menurut peringatan resmi, celah ini hanya bisa dieksploitasi bila GlobalProtect gateway atau portal dikonfigurasi. Meski begitu, tetap pasang pembaruan karena konfigurasi bisa berubah di kemudian hari. ### Apakah Panorama perlu diupdate karena CVE-2024-3400? Perangkat Panorama dinyatakan tidak terdampak celah ini. Fokuskan pembaruan pada firewall yang menjalankan GlobalProtect. ### Kalau hotfix sudah dipasang, apakah perangkat pasti bersih? Belum tentu. Hotfix mencegah eksploitasi baru, tapi tidak menghapus jejak penyerang yang sudah masuk sebelumnya. Periksa indikator kompromi dan pertimbangkan reset menyeluruh bila ada tanda mencurigakan. ## Sumber - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/pan-os-cve-2024-3400-celah-firewall-palo-alto Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com