Grupările ransomware exploatează o vulnerabilitate a Palo Alto GlobalProtect

Grupurile de ransomware exploatează în mod activ vulnerabilitatea CVE-2026-0257, o vulnerabilitate de ocolire a autentificării care afectează Palo Alto Networks PAN-OS GlobalProtect și Prisma Access. Specialiștii raportează că mai multe grupări de atacatori, printre care Qilin și Settra, utilizează această vulnerabilitate pentru a crea sesiuni VPN neautorizate și a pătrunde în rețelele interne prin intermediul serviciilor de acces la distanță de încredere.

Această activitate reprezintă o provocare serioasă în ceea ce privește detectarea, deoarece atacatorii se conectează prin propria rețea VPN a instituției. Traficul lor poate părea o activitate normală de lucru la distanță, oferindu-le timp să sustragă datele de autentificare, să se deplaseze între sisteme, să colecteze date sensibile sau să pregătească ransomware-ul înainte ca echipele de securitate să recunoască intruziunea.

Palo Alto Networks a dezvăluit vulnerabilitatea pe 13 mai 2026. Avizul său de securitate atribuie un scor CvSS de 7.8/10 și un grad de severitate high, cu cel mai înalt nivel de răspuns recomandat. Vulnerabilitatea permite unui atacator fără credențiale valide să ocolească restricțiile de securitate și să stabilească o conexiune VPN neautorizată.

Expunerea la risc depinde de configurație. Un portal sau un gateway GlobalProtect trebuie să aibă activate cookie-urile de suprascriere a autentificării, alături de o configurație specifică a certificatelor. Aceste cookie-uri permit autentificarea între componentele GlobalProtect, însă vulnerabilitatea constă în faptul că se bazează pe cookie-uri fără verificări adecvate de validare și integritate. Nu toate implementările Palo Alto Networks sunt afectate.

Avizul enumeră versiunile afectate din seriile PAN-OS 12.1, 11.2, 11.1 și 10.2, precum și Prisma Access 11.2 și 10.2. Panorama și Cloud NGFW nu sunt afectate. Administratorii ar trebui să verifice versiunea exactă de mentenanță în tabelul cu versiunile remediate al furnizorului, în loc să se bazeze doar pe numărul versiunii principale.

Instituțiile ar  trebui să actualizeze imediat implementările afectate și să dezactiveze cookie-urile de suprascriere a autentificării acolo unde acestea nu sunt necesare. Palo Alto Networks recomandă, de asemenea, un certificat nou generat, dedicat exclusiv cookie-urilor de suprascriere a autentificării. Administratorii nu ar trebui să reutilizeze un certificat de portal sau de gateway, nici un certificat folosit anterior pentru un alt serviciu.

Actualizările trebuie să vizeze toate portalurile și gateway-urile GlobalProtect, atât interne, cât și externe, care generează sau acceptă cookie-uri de autentificare. Mediile hibride Prisma Access necesită, de asemenea, actualizări ale firewall-urilor locale afectate.

Furnizorul avertizează că actualizările incomplete pot genera probleme de compatibilitate a cookie-urilor între componente. Utilizatorii trebuie să se autentifice din nou după ce software-ul actualizat modifică modul de generare a cookie-urilor.

Sursă: https://cybersecuritynews.com/palo-alto-globalprotect-flaw-vpn-access/