GlobalProtect sous Windows : une élévation de privilèges à corriger

Une faille dans un composant installé sur les postes

Palo Alto Networks a publié le 11 novembre 2026 un bulletin concernant GlobalProtect sous Windows. La vulnérabilité touche le composant OPSWAT MetaDefender Endpoint Security SDK utilisé par l’application. Elle permet à un utilisateur déjà authentifié localement sur Windows, sans droits d’administrateur, d’obtenir les privilèges NT AUTHORITY\SYSTEM, les droits système du poste.

La condition d’accès local est importante pour évaluer le risque : le bulletin décrit une élévation de privilèges depuis un compte Windows existant. Au moment de sa publication, l’éditeur indique ne connaître aucune exploitation malveillante de cette faille. Il ne propose aucun contournement ni mesure d’atténuation connue.

Les installations Windows à vérifier

Les entreprises concernées sont celles qui utilisent l’application GlobalProtect sous Windows, notamment dans les branches 6.2 et 6.3 visées par les instructions de correction. Aucune configuration particulière n’est nécessaire pour être affecté.

Pour la personne chargée du parc, les seuils de correction sont les suivants :

• Branche 6.2 : passer de 6.2.0 à 6.2.8-h3 vers 6.2.8-h4, build 6.2.8-317, ou une version ultérieure.
• Branche 6.3 : passer de 6.3.0 à 6.3.3-h2 vers 6.3.3-h3, build 6.3.3-711, ou une version ultérieure.

Ces versions intègrent le composant corrigé. Le bulletin précise qu’aucune action n’est nécessaire pour cette vulnérabilité sur les applications GlobalProtect pour macOS, Linux, iOS et Android, ni sur l’application GlobalProtect UWP.

Des correctifs disponibles, un déploiement à organiser

Le bulletin de l’éditeur date du 11 novembre ; le CERT-FR l’a référencé dans son avis du 12 novembre 2026. Aucune date limite de déploiement n’y est fixée.

La documentation d’administration précise que le portail détermine les modalités de mise à jour : automatique à la connexion, proposée à l’utilisateur ou interdite pour tout ou partie des utilisateurs. La disponibilité du correctif doit donc être rapprochée des réglages de votre déploiement.

Les actions à confier au responsable informatique

• Recenser les postes Windows équipés de GlobalProtect et distinguer l’application classique de l’application UWP, exclue de ce bulletin.
• Relever la version installée : l’onglet About des paramètres de l’application affiche cette information, comme l’indique le guide utilisateur.
• Sélectionner une version corrigée correspondant à la branche utilisée, en conservant les numéros de build dans le suivi du déploiement.
• Pour une distribution depuis le pare-feu hébergeant le portail, télécharger puis activer le paquet dans Device / GlobalProtect Client ; vérifier les règles qui autorisent ou déclenchent les mises à jour des postes.
• Contrôler après déploiement la version effectivement installée sur les postes recensés et traiter les machines restant sous le seuil corrigé.

Pour le suivi des composants couverts, VCSTS entretient les protections du périmètre confié, notamment leurs mises à jour, avec un responsable et une fréquence ou un déclencheur convenu pour chaque opération.