Группы шифровальщиков активно эксплуатируют CVE-2026-0257 — обход аутентификации в Palo Alto Networks PAN-OS GlobalProtect и Prisma Access. По данным ReliaQuest, уязвимость используют сразу несколько группировок, включая Qilin и Settra: они создают несанкционированные VPN-сессии и попадают во внутреннюю сеть через доверенный сервис удалённого доступа. Атака на VPN-периметр уже не первый случай в этом году — так же действовали злоумышленники, эксплуатировавшие zero-day с обходом аутентификации в Cisco Catalyst SD-WAN Manager.
Почему такой вход трудно заметить
Атакующие подключаются через VPN самой организации, поэтому их трафик выглядит как обычная удалённая работа. Это даёт время на кражу учётных данных, перемещение между системами, сбор конфиденциальных данных и подготовку шифровальщика — до того, как служба безопасности распознает вторжение.
ReliaQuest в своём отчёте также связывает активность с Cobalt Strike, BloodHound и SharpHound. Вывод для защитников: проверять нужно то, что происходит после подозрительного VPN-подключения, а не считать сам факт успешного подключения доказательством легитимности пользователя.
Кого касается уязвимость
Palo Alto Networks раскрыла проблему 13 мая 2026 года. В рекомендациях вендора ей присвоен CVSS 7.8 и рейтинг High с наивысшим приоритетом реагирования. Уязвимость позволяет атакующему без действительных учётных данных обойти ограничения безопасности и установить несанкционированное VPN-соединение.
Подверженность зависит от конфигурации. На портале или шлюзе GlobalProtect должны быть включены cookies переопределения аутентификации (authentication override cookies) вместе с определённой конфигурацией сертификата. Эти cookies поддерживают аутентификацию между компонентами GlobalProtect, но уязвимость связана с их использованием без должной проверки и контроля целостности. Не каждое развёртывание Palo Alto Networks затронуто.
В рекомендациях перечислены уязвимые выпуски PAN-OS 12.1, 11.2, 11.1 и 10.2, а также Prisma Access 11.2 и 10.2. Panorama и Cloud NGFW не затронуты. Администраторам стоит сверять свой конкретный maintenance-релиз с таблицей исправленных версий вендора, а не полагаться только на номер основной версии.
Что делать администратору
- Немедленно обновить затронутые развёртывания.
- Отключить cookies переопределения аутентификации там, где они не нужны.
- Сгенерировать отдельный сертификат исключительно для authentication override cookies. Palo Alto Networks не рекомендует переиспользовать сертификат портала, шлюза или ранее применявшийся для другого сервиса.
- Обновить все внутренние и внешние порталы и шлюзы GlobalProtect, которые создают или принимают cookies аутентификации. В гибридных средах Prisma Access потребуется обновить и затронутые локальные межсетевые экраны.
- После установки патча завершить все активные сессии GlobalProtect и разобрать неожиданные подключения.
Вендор предупреждает: неполное обновление может привести к проблемам совместимости cookies между компонентами. После того как исправленное ПО меняет способ генерации cookies, пользователям придётся аутентифицироваться заново.
ReliaQuest рекомендует после патча завершить все активные сессии GlobalProtect и исследовать неожиданные подключения — в том числе с устройств с именами хостов вроде «kali». Такое имя хоста — повод для проверки, а не самостоятельное доказательство компрометации. Одного патча может не хватить, чтобы закрыть доступ, полученный до устранения уязвимости: очистка сессий и последующее расследование обязательны.
Прогноз и приоритеты
Предупреждение укладывается в более широкую картину атак шифровальщиков на VPN-сервисы — как в случае с эксплуатируемой SQL-инъекцией в Roundcube до входа в систему, где злоумышленники тоже действуют до аутентификации. ReliaQuest оценивает вероятность продолжения эксплуатации в ближайшие три месяца как высокую: группы шифровальщиков и брокеры первичного доступа ищут необновлённые системы. Защитникам стоит в первую очередь закрывать открытые в интернет шлюзы и одновременно проверять, не был ли доступ получен до установки исправлений.
Ранее сообщалось об эксплуатации CVE-2026-0257 группировкой Qilin — тогда вторжения шли от несанкционированного VPN-доступа к краже учётных данных и развёртыванию шифровальщика. Наблюдения ReliaQuest теперь называют рядом с Qilin и Settra, что подтверждает: эксплуатацией занимается не одна операция. Отдельный повод для внимания — недавняя уязвимость в F5 BIG-IP APM с CVSS 9.8, которую также используют для доступа к корпоративным ресурсам.
Частые вопросы
Кого касается CVE-2026-0257?
Организации, у которых развёрнуты порталы или шлюзы GlobalProtect в PAN-OS 12.1, 11.2, 11.1 или 10.2, а также Prisma Access 11.2 и 10.2. Обязательное условие — включённые authentication override cookies вместе с определённой конфигурацией сертификата. Panorama и Cloud NGFW не затронуты.
Как понять, что моё развёртывание уязвимо?
Проверьте, включены ли cookies переопределения аутентификации на портале или шлюзе GlobalProtect, и сверьте свой maintenance-релиз с таблицей исправленных версий вендора. Ориентироваться только на номер основной версии недостаточно.
Что делать в первую очередь?
Обновить затронутые компоненты, отключить authentication override cookies там, где они не нужны, и выделить для них отдельный новый сертификат, не переиспользуя сертификат портала, шлюза или другого сервиса.
Почему недостаточно просто установить патч?
Доступ, полученный до устранения уязвимости, патч не отзывает. ReliaQuest рекомендует после обновления завершить все активные сессии GlobalProtect и проверить неожиданные подключения, включая устройства с подозрительными именами хостов.
Нужно ли обновлять локальные межсетевые экраны при Prisma Access?
Да. В гибридных средах Prisma Access обновления требуют не только облачные компоненты, но и затронутые локальные межсетевые экраны. Неполное обновление грозит проблемами совместимости cookies между компонентами.
Придётся ли пользователям аутентифицироваться заново?
Да. После того как исправленное ПО меняет способ генерации cookies, пользователи должны пройти аутентификацию повторно.
Насколько вероятны новые атаки?
ReliaQuest оценивает вероятность продолжения эксплуатации в ближайшие три месяца как высокую: группы шифровальщиков и брокеры первичного доступа активно ищут необновлённые системы. Приоритет для защитников — открытые в интернет шлюзы.
Что именно искать в логах VPN?
Неожиданные подключения, которые не соответствуют обычному графику удалённой работы, и устройства с подозрительными именами хостов вроде «kali». Имя хоста — это зацепка для расследования, а не доказательство взлома. Отдельно стоит проверить активность Cobalt Strike, BloodHound и SharpHound, о которых сообщает ReliaQuest.
Источник: cybersecuritynews.com