PAN-OS GlobalProtect: CVE-2026-0257 exploatată de Qilin și INC

Mai multe grupări ransomware, printre care Qilin și INC, exploatează CVE-2026-0257, o vulnerabilitate de ocolire a autentificării în portalurile și gateway-urile GlobalProtect din Palo Alto Networks PAN-OS. Potrivit The Hacker News, defectul afectează și Prisma Access și are un scor CVSS de 7,8. Exploatarea permite deschiderea unei sesiuni VPN neautorizate, ocolind autentificarea multifactor (MFA), folosită apoi ca punct de intrare în rețeaua companiei.

Noile investigații vin de la Unit 42, divizia de consultanță și răspuns la incidente a Palo Alto Networks, citată de The Register și The Hacker News. Vulnerabilitatea este corectată din mai: dacă nu ai actualizat încă, ești expus, iar dacă ai actualizat târziu, trebuie să verifici că nu ai fost deja compromis.

Ce s-a întâmplat

Cronologia vine de la The Register:

• 13 mai 2026: Palo Alto Networks publică avizul și corecția. Atunci gravitatea indicată este medie, iar producătorul declară că are cunoștință de încercări de exploatare, dar că nu a observat exploatări rău intenționate reușite.
• Sfârșitul lui mai: cercetătorii Rapid7 raportează exploatări reușite în mai multe medii ale clienților, cel puțin începând cu 17 mai.
• De la începutul lui iunie: Unit 42 investighează atacuri în multe sectoare.
• 19 octombrie: Unit 42 anunță că grupări ransomware, printre care Qilin și INC, continuă să exploateze vulnerabilitatea.

Potrivit Unit 42, sectoarele afectate sunt educația, serviciile financiare, sănătatea, tehnologia avansată, ospitalitatea, industria prelucrătoare, serviciile profesionale și juridice, administrația publică, transporturile și logistica, utilitățile și energia, comerțul en-gros și cu amănuntul. Numărul organizațiilor afectate nu este cunoscut: Palo Alto Networks nu a răspuns la întrebările The Register.

The Register mai relatează că, potrivit analiștilor ReliaQuest, vulnerabilitatea este exploatată de mai multe grupări, printre care operatorii ransomware-ului Settra, tot pentru accesul inițial prin sesiuni VPN neautorizate. Această informație provine dintr-o singură sursă.

Detalii tehnice

• CVE: CVE-2026-0257, ocolirea autentificării.
• Componentă: portalurile și gateway-urile GlobalProtect din PAN-OS; potrivit The Hacker News, și Prisma Access.
• Gravitate: CVSS 7,8 potrivit The Hacker News (ridicată); inițial producătorul o clasificase drept medie.
• Efect: crearea unei conexiuni VPN neautorizate, cu MFA ocolită.
• Versiuni: sursele disponibile nu indică versiunile afectate și nici pe cele corectate. Referința este avizul Palo Alto Networks pentru CVE-2026-0257.

Lanțul de atac descris de Unit 42

Andy Piazza, senior director pentru threat intelligence la Unit 42, descrie această succesiune:

1. Acces inițial: exploatarea CVE-2026-0257 și o sesiune VPN deschisă fără a trece prin MFA.
2. Mișcare laterală prin RDP și SMB.
3. Alte programe malware pentru colectarea credențialelor și furtul de date.
4. Ransomware ca etapă finală.

Cea mai importantă evoluție, tot potrivit Unit 42, este trecerea directă la nivelul de virtualizare. Într-un caz, atacatorii au trecut de la gateway-ul VPN compromis la appliance-ul de administrare vCenter, au dezactivat pe hipervizoarele ESXi controlul execInstalledOnly (care permite rularea doar a binarelor instalate prin pachete semnate) și au folosit un instrument creat special pentru a extrage credențialele offline de pe discul virtual (VMDK) al unui controler de domeniu. Astfel sunt evitate soluțiile EDR instalate în mașinile virtuale și se obțin credențialele întregului domeniu.

Unit 42 a observat exploit-ul înlănțuit și cu alte vulnerabilități, precum CVE-2023-27532 din Veeam Backup & Replication, care vizează infrastructura de backup.

Tehnici MITRE ATT&CK

Asocierea ne aparține, pe baza descrierii Unit 42 preluate de surse:

• T1190 Exploit Public-Facing Application și T1133 External Remote Services (acces prin VPN);
• T1021.001 Remote Desktop Protocol și T1021.002 SMB/Windows Admin Shares;
• T1562.001 Impair Defenses: Disable or Modify Tools (execInstalledOnly pe ESXi);
• T1003 OS Credential Dumping (extragere offline din VMDK);
• T1486 Data Encrypted for Impact.

Indicatori

Unit 42 a publicat indicatori de compromitere pentru căutarea amenințărilor; sursele de care dispunem nu îi includ.

Impactul pentru companiile europene și italiene

GlobalProtect este o soluție VPN foarte răspândită și în Europa și în Italia. Atacul descris lovește două elemente pe care se bazează apărarea multor companii: MFA pe VPN și EDR pe mașini. O sesiune VPN deschisă printr-o ocolire a autentificării poate arăta ca un acces legitim; un furt de credențiale făcut pe discul virtual nu trece prin EDR. Infrastructurile VMware și backup-urile devin astfel parte din perimetrul care trebuie supravegheat.

Sănătatea, energia, transporturile și administrația publică, toate printre sectoarele afectate, intră și sub incidența NIS2. Pentru aceste entități, CVE-2026-0257 trebuie tratată cu prioritate în gestionarea vulnerabilităților, iar o eventuală compromitere trebuie evaluată ca incident semnificativ, de notificat la CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN). Dacă sunt implicate date cu caracter personal, cum se întâmplă aproape mereu în atacurile ransomware cu furt de date, trebuie evaluată și notificarea autorității de protecție a datelor în 72 de ore, conform GDPR.

Ce faci acum

1. Fă inventarul firewall-urilor PAN-OS cu GlobalProtect activ și al tenanților Prisma Access, inclusiv al celor gestionați de furnizori.
2. Actualizează urmând avizul Palo Alto Networks pentru CVE-2026-0257, dacă nu ai făcut-o deja.
3. Nu te opri la patch: exploatarea este documentată cel puțin din 17 mai. Verifică în logurile GlobalProtect sesiunile VPN începând din mai, căutând utilizatori, adrese sursă și ore neașteptate și sesiuni fără pasul MFA prevăzut.
4. Folosește indicatorii Unit 42 pentru căutarea amenințărilor pe firewall-uri, endpoint-uri și în logurile centralizate.
5. Protejează virtualizarea: verifică dacă execInstalledOnly este activ pe toate gazdele ESXi, controlează accesările și modificările din vCenter și ține administrarea vCenter și ESXi departe de plajele de adrese ale VPN-ului.
6. Verifică backup-ul: asigură-te că Veeam Backup & Replication este actualizat pentru CVE-2023-27532 și că există o copie a datelor care nu poate fi accesată din rețeaua principală.
7. Supraveghează mișcarea laterală: conexiuni RDP și SMB neobișnuite pornite de la adresele alocate VPN-ului.
8. Dacă găsești semne de compromitere: păstrează logurile și dovezile înainte de a interveni, apoi resetează credențialele de domeniu, pe cele ale administratorilor de virtualizare și conturile VPN.

Cum ajută ARXDOME

ARX Sentry colectează logurile firewall-urilor într-un colector central, astfel încât sesiunile VPN și accesările rămân înregistrate și în afara dispozitivului și pot fi verificate retroactiv, și are pagini dedicate firewall-urilor, cu starea firmware-ului. ARX Expose arată serviciile pe care compania ta le expune pe internet, precum portalurile VPN, împreună cu vulnerabilitățile cunoscute. ARX Horizon îmbogățește evenimentele cu liste de amenințări și informații despre vulnerabilități.

Ultima actualizare: 20 octombrie 2026