Palo Alto Networks mengonfirmasi bahwa bug dekoder Brotli CVE-2026-111497 ikut menyasar firewall PAN-OS. Perusahaan itu menerbitkan advisori pada 26 Oktober 2026, dengan skor CVSS-B 9,2 dan saran urgensi “moderate”. Palo Alto menyatakan belum mengetahui adanya eksploitasi berbahaya, dan penyelidikannya masih berjalan.
Perangkat dan versi yang terdampak
Akar masalahnya adalah buffer overflow di pustaka Brotli versi 1.0.3 sampai 1.2.0. Penyerang jarak jauh tanpa autentikasi bisa mengirim aliran data terkompresi yang dirancang khusus, dengan dampak yang mencakup kebocoran memori, denial of service, hingga eksekusi kode. Versi Brotli yang sudah diperbaiki adalah 1.0.10, 1.1.1, dan 1.2.1. Celah ini sebelumnya sudah kami bahas untuk .NET, FFmpeg, ClickHouse, dan Apache Arrow.
Di sisi Palo Alto, firewall PA-Series dan VM-Series berisiko jika dua fitur menyala bersamaan: inspeksi lalu lintas terkompresi Brotli dan dekripsi TLS/SSL di dataplane. Antarmuka manajemen web dan API tidak terpengaruh. Inspeksi Brotli tidak didukung sebelum PAN-OS 11.2.4 dan nonaktif secara bawaan pada 11.2.4 ke atas. PAN-OS 11.1 dan 10.2 tidak terdampak, begitu pula Panorama. Selain firewall, Prisma Cloud Application Security Transporter Client di bawah versi 0.2.9 juga perlu diperbarui.
Layanan cloud Palo Alto seperti ADEM, Cloud Identity Engine, dan Hub sudah diperbaiki oleh perusahaannya, sehingga pelanggan tidak perlu bertindak.
Jadwal perbaikan
Palo Alto menyebut perkiraan tanggal rilis build yang sudah diperbaiki, dan tanggal itu belum menjadi jaminan. Pada 27 Oktober dijadwalkan PAN-OS 11.2.10-h17 dan 11.2.13-h4. Pada 28 Oktober menyusul 12.2.4-h1, 12.1.7-h11, dan 11.2.16-h1. Rilis 12.1.4-h13 dan 11.2.7-h23 dijadwalkan 29 Oktober, lalu 12.1.10-h3 dan 11.2.4-h23 pada 30 Oktober. Build 11.2.10-h16 hanya memperbaiki isu PHP dan belum memuat perbaikan Brotli.
Langkah yang perlu diambil admin
Mulai dengan memeriksa apakah inspeksi Brotli aktif. Pada PAN-OS 11.2.4 ke atas, perintah CLI show system setting brotli menampilkan “Enabled: yes” bila perangkat terpapar. Pada PAN-OS 12.1.2 ke atas, cek opsi “Allow Brotli Encoding” di Device > Setup > Content-ID.
Bila aktif dan build perbaikan belum tersedia untuk cabang Anda, Palo Alto menyarankan menonaktifkan inspeksi Brotli lewat CLI sesuai advisori atau dengan menghapus centang opsi tadi di antarmuka web, lalu melakukan commit. Pelanggan Threat Prevention juga mendapat perlindungan parsial lewat Threat ID 97686 (konten versi 9165 atau lebih baru), tetapi itu bukan pengganti perbaikan penuh. Setelah build untuk cabang Anda terbit, jadwalkan pembaruan dan baru aktifkan kembali inspeksi Brotli bila memang dibutuhkan.
Bagi tim jaringan di Indonesia yang mengelola firewall Palo Alto dengan dekripsi TLS, pemeriksaan ini hanya butuh beberapa menit, sedangkan menunda berarti membiarkan dataplane menerima aliran terkompresi dari luar tanpa perlindungan.
Sumber: advisori Palo Alto Networks dan Cyber Security News. Gambar: Cyber Security News.