PAN-OS GlobalProtect: CVE-2026-0257 sfruttata da Qilin e INC

Più gruppi ransomware, tra cui Qilin e INC, stanno sfruttando la CVE-2026-0257, una vulnerabilità di bypass dell’autenticazione nei portali e gateway GlobalProtect di Palo Alto Networks PAN-OS. Secondo The Hacker News la falla riguarda anche Prisma Access e ha un punteggio CVSS di 7,8. Lo sfruttamento permette di aprire una sessione VPN non autorizzata aggirando l’autenticazione a più fattori (MFA) e di usarla come punto di ingresso nella rete aziendale.

A riferire le nuove indagini è Unit 42, la divisione di consulenza e risposta agli incidenti di Palo Alto Networks, citata da The Register e The Hacker News. La vulnerabilità è corretta da maggio: chi non ha ancora aggiornato è esposto, e chi ha aggiornato tardi deve verificare di non essere già stato compromesso.

Cosa è successo

La ricostruzione dei tempi viene da The Register:

• 13 maggio 2026: Palo Alto Networks pubblica l’avviso e la correzione. In quel momento la gravità indicata è media e il produttore dichiara di essere a conoscenza di tentativi di sfruttamento, ma di non aver osservato sfruttamenti riusciti.
• Fine maggio: i ricercatori di Rapid7 riferiscono di aver osservato sfruttamenti riusciti in più ambienti di clienti, a partire almeno dal 17 maggio.
• Da inizio giugno: Unit 42 indaga su attacchi in molti settori.
• 19 ottobre: Unit 42 comunica che gruppi ransomware, tra cui Qilin e INC, continuano a sfruttare la vulnerabilità.

Secondo Unit 42 i settori colpiti sono istruzione, servizi finanziari, sanità, alta tecnologia, ospitalità, manifattura, servizi professionali e legali, pubblica amministrazione, trasporti e logistica, utility ed energia, commercio all’ingrosso e al dettaglio. Il numero delle organizzazioni colpite non è noto: Palo Alto Networks non ha risposto alle domande di The Register.

The Register riporta inoltre che, secondo gli analisti di ReliaQuest, la vulnerabilità è sfruttata da più gruppi, tra cui gli operatori del ransomware Settra, sempre per ottenere l’accesso iniziale tramite sessioni VPN non autorizzate. Questo dato viene da una sola fonte.

Dettagli tecnici

• CVE: CVE-2026-0257, bypass dell’autenticazione.
• Componente: portali e gateway GlobalProtect di PAN-OS; secondo The Hacker News anche Prisma Access.
• Gravità: CVSS 7,8 secondo The Hacker News (alta); inizialmente il produttore l’aveva classificata come media.
• Effetto: creazione di una connessione VPN non autorizzata, con l’MFA aggirata.
• Versioni: le fonti disponibili non indicano le versioni colpite né quelle corrette. Il riferimento è l’avviso di Palo Alto Networks sulla CVE-2026-0257.

La catena di attacco descritta da Unit 42

Andy Piazza, senior director della threat intelligence di Unit 42, descrive questa sequenza:

1. Accesso iniziale: sfruttamento della CVE-2026-0257 e sessione VPN aperta senza passare dall’MFA.
2. Movimento laterale con RDP e SMB.
3. Altri malware per raccogliere credenziali e rubare dati.
4. Ransomware come fase finale.

L’evoluzione più rilevante, sempre secondo Unit 42, è il passaggio diretto al livello di virtualizzazione. In un caso gli attaccanti sono passati dal gateway VPN compromesso all’appliance di gestione vCenter, hanno disattivato sugli hypervisor ESXi il controllo execInstalledOnly (che consente di eseguire solo i binari installati con pacchetti firmati) e hanno usato uno strumento su misura per estrarre le credenziali offline dal disco virtuale (VMDK) di un domain controller. In questo modo si evitano gli EDR installati dentro le macchine virtuali e si ottengono le credenziali dell’intero dominio.

Unit 42 ha visto anche l’exploit concatenato con altre vulnerabilità, come la CVE-2023-27532 di Veeam Backup & Replication, che colpisce l’infrastruttura di backup.

Tecniche MITRE ATT&CK

Associazione nostra, in base alla descrizione di Unit 42 riportata dalle fonti:

• T1190 Exploit Public-Facing Application e T1133 External Remote Services (accesso tramite VPN);
• T1021.001 Remote Desktop Protocol e T1021.002 SMB/Windows Admin Shares;
• T1562.001 Impair Defenses: Disable or Modify Tools (execInstalledOnly su ESXi);
• T1003 OS Credential Dumping (estrazione offline dal VMDK);
• T1486 Data Encrypted for Impact.

Indicatori

Unit 42 ha pubblicato indicatori di compromissione per la ricerca delle minacce; le fonti a nostra disposizione non li riportano.

Impatto per le aziende europee e italiane

GlobalProtect è una VPN molto diffusa anche in Europa e in Italia. L’attacco descritto colpisce due punti su cui si basa la difesa di molte aziende: l’MFA sulla VPN e l’EDR sulle macchine. Una sessione VPN aperta con un bypass dell’autenticazione può sembrare un accesso legittimo; un furto di credenziali fatto sul disco virtuale non passa dall’EDR. Le infrastrutture VMware e i backup diventano quindi parte del perimetro da sorvegliare.

Sanità, energia, trasporti e pubblica amministrazione, tutti tra i settori colpiti, sono anche tra quelli interessati dalla NIS2. Per questi soggetti la CVE-2026-0257 va trattata con priorità nella gestione delle vulnerabilità e un’eventuale compromissione va valutata come incidente significativo, da notificare al CSIRT Italia dell’ACN. Se sono coinvolti dati personali, come quasi sempre negli attacchi ransomware con furto di dati, va valutata anche la notifica al Garante entro 72 ore secondo il GDPR.

Cosa fare subito

1. Fai l’inventario dei firewall PAN-OS con GlobalProtect attivo e dei tenant Prisma Access, compresi quelli gestiti da fornitori.
2. Aggiorna seguendo l’avviso di Palo Alto Networks sulla CVE-2026-0257, se non l’hai già fatto.
3. Non fermarti alla patch: lo sfruttamento è documentato almeno dal 17 maggio. Controlla nei log di GlobalProtect le sessioni VPN da maggio in poi, cercando utenti, indirizzi di origine e orari inattesi e sessioni senza il passaggio MFA previsto.
4. Usa gli indicatori di Unit 42 per la ricerca delle minacce su firewall, endpoint e log centralizzati.
5. Proteggi la virtualizzazione: verifica che execInstalledOnly sia attivo su tutti gli host ESXi, controlla accessi e modifiche su vCenter e tieni la gestione di vCenter ed ESXi fuori dalla portata dei pool di indirizzi VPN.
6. Controlla il backup: verifica che Veeam Backup & Replication sia aggiornato per la CVE-2023-27532 e che esista una copia dei dati non raggiungibile dalla rete principale.
7. Sorveglia il movimento laterale: connessioni RDP e SMB anomale partite dagli indirizzi assegnati alla VPN.
8. Se trovi segni di compromissione: conserva log e prove prima di intervenire, poi reimposta le credenziali di dominio, degli amministratori della virtualizzazione e degli account VPN.

Come aiuta ARXDOME

ARX Sentry raccoglie i log dei firewall in un collettore centrale, così le sessioni VPN e gli accessi restano registrati anche fuori dal dispositivo e si possono ricontrollare a ritroso, e ha pagine dedicate ai firewall con lo stato del firmware. ARX Expose mostra i servizi che la tua azienda espone su Internet, come i portali VPN, con le vulnerabilità note. ARX Horizon arricchisce gli eventi con le liste di minacce e le informazioni sulle vulnerabilità.

Ultimo aggiornamento: 20 ottobre 2026