Operadores de ransomware estão explorando ativamente a CVE-2026-0257 (Vulnerabilidades e Exposições Comuns), uma falha de bypass de autenticação (ou contorno de autenticação) que afeta o GlobalProtect do PAN-OS (sistema operacional da Palo Alto Networks) e o Prisma Access.
A vulnerabilidade permite que invasores estabeleçam sessões de VPN (Rede Privada Virtual) não autorizadas e se infiltrem em redes internas. A ReliaQuest identificou diversos grupos de ameaças aproveitando essa falha, incluindo as operações de ransomware Qilin e Settra.
Esses ataques utilizam um caminho de acesso remoto confiável, em vez de depender apenas de conexões externas suspeitas. Como os invasores acessam a infraestrutura de VPN da própria organização, suas atividades podem imitar o trabalho remoto legítimo, o que pode atrasar a detecção até que fases como roubo de credenciais, movimento lateral, exfiltração de dados ou implantação de ransomware tenham início.
Vulnerabilidade na VPN da Palo Alto Networks
A Palo Alto Networks descreve a vulnerabilidade como um bypass de autenticação que afeta os componentes portal e gateway do GlobalProtect. A exploração bem-sucedida permite que atacantes contornem as medidas de segurança e estabeleçam conexões VPN não autorizadas.
O risco depende de configurações específicas: os cookies de substituição de autenticação devem estar habilitados em conjunto com uma determinada configuração de certificado. Vale observar que o Panorama e o Cloud NGFW (Firewall de Próxima Geração em Nuvem) não são afetados.
Esse requisito de configuração importa porque ter o GlobalProtect instalado não significa automaticamente que o sistema está vulnerável. Os administradores devem avaliar as configurações do portal e do gateway conforme o aviso do fornecedor, em vez de presumir que toda implantação apresenta o mesmo nível de exposição. O mecanismo de autenticação vulnerável permite que os atacantes obtenham acesso à rede sem concluir o processo normal de autenticação.
A ReliaQuest também observou o uso de Cobalt Strike, BloodHound e SharpHound em atividades relacionadas. Essas descobertas acompanham o alerta de que acessos VPN não autorizados podem preceder o roubo de credenciais, o movimento interno, o furto de dados e a execução de ransomware. Nem toda invasão envolve as três ferramentas ou segue a mesma sequência de ataque.
Os investigadores devem examinar conexões inesperadas no GlobalProtect, incluindo sessões vinculadas a nomes de host como "kali". A ReliaQuest destaca especificamente esse nome de host como um indício para investigação; no entanto, ele deve ser avaliado em conjunto com o histórico de conexões e outras evidências, em vez de ser tratado como prova definitiva de atribuição.
As organizações devem atualizar as implantações afetadas o mais rápido possível e desabilitar os cookies de substituição de autenticação quando eles não forem necessários.
A ReliaQuest também recomenda encerrar todas as sessões ativas do GlobalProtect após a aplicação do patch e examinar conexões inesperadas. Apenas atualizar o software vulnerável pode não eliminar acessos estabelecidos antes da correção.
É fundamental distinguir entre corrigir a vulnerabilidade e remover acessos já existentes. A resposta a incidentes deve tratar tanto da configuração de VPN exposta quanto de quaisquer sessões que os atacantes possam já ter estabelecido.
A ReliaQuest avalia que a probabilidade de exploração permanecerá alta nos próximos três meses, à medida que grupos de ransomware e corretores de acesso inicial miram sistemas sem patch.
Indicadores de Compromisso
A ReliaQuest publicou os seguintes indicadores, embora não tenha detalhado seus papéis operacionais específicos na atualização. A entrada final está listada como um endereço, não estendida a uma sub-rede presumida. Esses indicadores devem auxiliar investigações em conjunto com a atividade de VPN relatada.
Observação: Os endereços IP (Protocolo de Internet) e domínios foram intencionalmente desativados (defanged, por exemplo, com [.]) para evitar resolução acidental ou criação de hiperlinks. Reative-os (re-fang) apenas em plataformas controladas de inteligência de ameaças, como MISP (Plataforma de Compartilhamento de Informações de Malware), VirusTotal ou seu SIEM (Gerenciamento de Eventos e Informações de Segurança).
Interrompa ameaças cibernéticas antes do impacto com MTTR (Tempo Médio de Resposta) 21 minutos mais rápido. Integre o Sandbox da ANYRUN ao seu SOC (Centro de Operações de Segurança)..
