Вымогатели атакуют PAN-OS через уязвимость аутентификации CVE-2026-0257

Вымогатели эксплуатируют CVE-2026-0257 для обхода аутентификации

Группы вымогателей Qilin и Inc используют уязвимость CVE-2026-0257 в операционной системе PAN-OS. Эксперты Unit 42 с начала июня расследуют атаки на организации в финансовом, медицинском и производственном секторах. Уязвимость затрагивает порталы и шлюзы GlobalProtect в PAN-OS. Она позволяет злоумышленникам обходить ограничения безопасности и устанавливать несанкционированные VPN-соединения. Palo Alto Networks выпустила исправление 13 мая. Изначально уязвимости присвоили средний уровень опасности. Компания заявляла об осведомленности попыток эксплуатации, но не фиксировала вредоносной активности. Оценка изменилась к концу мая. Исследователи Rapid7 зафиксировали успешную эксплуатацию уязвимости в системах клиентов с 17 мая.

PAN-OS GlobalProtect позволяет злоумышленникам получить доступ к корпоративным сетям

Уязвимость CVE-2026-0257 позволяет злоумышленникам получить первоначальный доступ к корпоративным сетям. Они обходят многофакторную аутентификацию (MFA) и устанавливают VPN-сессию. После получения доступа преступники перемещаются по сети с помощью протоколов удаленного рабочего стола (RDP) и Server Message Block (SMB). Они устанавливают дополнительное вредоносное ПО для кражи учетных данных и данных. Затем развертывают программы-вымогатели. Unit 42 выявила атаки на образовательные учреждения, финансовые, медицинские и производственные компании. Также пострадали высокотехнологичные, гостиничные и юридические фирмы. Атаки затронули государственные структуры, транспортные и логистические компании, энергетический сектор и розничную торговлю.

Уязвимость CVE-2026-0257 затрагивает PAN-OS версий до 10.2.9, 11.0.4 и 11.1.2

Уязвимость CVE-2026-0257 затрагивает PAN-OS версии до 10.2.9, 11.0.4 и 11.1.2. Palo Alto Networks выпустила исправления для этих версий. Аналитики ReliaQuest предупредили об эксплуатации уязвимости группами вымогателей, включая операторов Settra. Злоумышленники используют уязвимость для получения первоначального доступа к корпоративным сетям через несанкционированные VPN-соединения. После успешной эксплуатации CVE-2026-0257 злоумышленники переходят к виртуализационному слою. В одном из случаев атакующие получили доступ к управляющему прибору vCenter. Оттуда они отключили средства защиты на гипервизорах ESXi. Затем использовали собственный инструмент для получения учетных данных напрямую из виртуального диска контроллера домена (VMDK). Это позволяет обойти продукты обнаружения и реагирования на конечных точках (EDR) внутри гостевой системы. Метод позволяет красть учетные данные всего домена. Злоумышленники также используют CVE-2026-0257 совместно с другими уязвимостями, например CVE-2023-27532, нацеленной на инфраструктуру резервного копирования Veeam.

Установите обновления PAN-OS и проверьте наличие компрометации

Необходимо установить обновления для PAN-OS. Проверьте, получили ли злоумышленники доступ к вашей сети. Unit 42 предоставила индикаторы компрометации для помощи в поиске угроз. Атаки с использованием CVE-2026-0257 продолжаются. Злоумышленники используют уязвимость для получения первоначального доступа к корпоративным сетям. Они обходят многофакторную аутентификацию и устанавливают VPN-сессию. После этого перемещаются по сети, устанавливают вредоносное ПО и развертывают программы-вымогатели. Особую опасность представляет переход к виртуализационному слою. Это позволяет обойти средства защиты и украсть учетные данные всего домена. Рекомендуется установить последние версии PAN-OS и проверить системы на наличие признаков компрометации.