Групи за разпространение на рансъмуер активно експлоатират CVE-2026-0257 – уязвимост за заобикаляне на автентикацията, засягаща Palo Alto Networks PAN-OS GlobalProtect и Prisma Access. ReliaQuest съобщава, че множество групи от атакуващи, включително Qilin и Settra, използват слабостта, за да създават неоторизирани VPN сесии и да проникват във вътрешни мрежи през надеждни услуги за отдалечен достъп.
Дейността представлява сериозно предизвикателство за засичане, тъй като атакуващите се свързват през собствения VPN на организацията. Техният трафик може да изглежда като нормална дистанционна работа, което им осигурява време за кражба на идентификационни данни, странично придвижване между системите, събиране на чувствителни данни или подготовка за активиране на рансъмуер, преди екипите по сигурност да разпознаят проникването.
В своя бюлетин за заплахите ReliaQuest докладва и свързана активност с използване на Cobalt Strike, BloodHound и SharpHound. Тези наблюдения показват, че защитниците трябва да разследват какво се случва след подозрителна VPN връзка, вместо да приемат успешната връзка като доказателство, че потребителят е легитимен.
Заобикаляне на автентикацията в GlobalProtect
Palo Alto Networks оповести уязвимостта на 13 май 2026 г. Техният бюлетин за сигурност ѝ дава CVSS оценка 7.8 и ниво на сериозност „High“ (високо), с най-висока препоръчителна спешност за реакция. Проблемът позволява на атакуващ без валидни идентификационни данни да заобиколи ограниченията за сигурност и да установи неоторизирана VPN връзка.
Уязвимостта зависи от конфигурацията. Даден GlobalProtect портал или шлюз трябва да има активирани бисквитки за отмяна на автентикацията (authentication override cookies) заедно със специфична конфигурация на сертификатите. Тези бисквитки подпомагат автентикацията между компонентите на GlobalProtect, но уязвимостта произтича от разчитането на бисквитки без правилна валидация и проверки за цялост. Не всяка инсталация на Palo Alto Networks е засегната.
Бюлетинът изброява засегнати версии сред PAN-OS 12.1, 11.2, 11.1 и 10.2, както и Prisma Access 11.2 и 10.2. Panorama и Cloud NGFW не са засегнати. Администраторите трябва да проверят конкретната си версия за поддръжка спрямо таблицата с коригирани версии на производителя, вместо да се доверяват единствено на номера на основната версия.
Предишни доклади за Qilin, експлоатираща CVE-2026-0257, описват прониквания, започващи от неоторизиран VPN достъп и преминаващи в кражба на идентификационни данни и разгръщане на рансъмуер. Наблюденията на ReliaQuest вече идентифицират Settra редом с Qilin, което потвърждава, че експлоатацията не е ограничена до единична рансъмуер операция.
Организациите трябва незабавно да обновят засегнатите системи и да деактивират бисквитките за отмяна на автентикацията там, където не са необходими. Palo Alto Networks също така препоръчва новогенериран сертификат, предназначен изключително за бисквитките за отмяна на автентикацията. Администраторите не трябва да използват повторно сертификат от портал или шлюз, нито сертификат, използван преди това за друга услуга.
Обновяванията трябва да обхванат всички вътрешни и външни GlobalProtect портали и шлюзове, които генерират или приемат бисквитки за автентикация. Хибридните среди на Prisma Access също изискват инсталиране на корекции за сигурност на засегнатите локални защитни стени. Производителят предупреждава, че непълните обновявания могат да доведат до проблеми със съвместимостта на бисквитките между компонентите. Потребителите трябва да се автентикират отново, след като коригираният софтуер промени начина на генериране на бисквитки.
ReliaQuest препоръчва прекратяване на всички активни GlobalProtect сесии след инсталиране на корекциите за сигурност и разследване на неочаквани връзки, включително устройства с имена на хостове като „kali“. Подобно име на хост е следа за разследване, а не самостоятелно доказателство за компрометиране. Самото отстраняване на уязвимостта може да не премахне достъп, установен преди прилагането на корекцията, което прави изчистването на сесиите и последващото разследване от съществено значение.
Предупреждението се вписва в по-широката тенденция на рансъмуер атаки, насочени към VPN услуги. ReliaQuest оценява, че е много вероятно експлоатацията да продължи през следващите три месеца, тъй като рансъмуер групите и брокерите на първоначален достъп търсят системи без инсталирани корекции. Защитниците трябва да приоритизират изложените в интернет шлюзове, като едновременно с това проверят за достъп, осъществен преди прилагането на корекциите.