Grupy ransomware, takie jak Qilin i Settra, wykorzystują krytyczną podatność CVE-2026-0257 w rozwiązaniach Palo Alto Networks. Luka ta pozwala na obejście uwierzytelniania w usługach PAN-OS GlobalProtect oraz Prisma Access, co umożliwia napastnikom ustanowienie nieautoryzowanych sesji VPN i uzyskanie dostępu do sieci wewnętrznych.
Problem dotyczy konkretnych wersji PAN-OS (10.2.0, 11.1.0, 11.2.0, 12.1.0) oraz dwóch wersji Prisma Access (10.2.0 i 11.2.0). Choć poprawki wydano już w maju, wiele organizacji wciąż nie zaktualizowało swoich systemów, co czyni je łatwym celem.
Atakujący po uzyskaniu dostępu często korzystają z narzędzi takich jak Cobalt Strike, BloodHound czy SharpHound, aby przeprowadzić ruch boczny i wykraść dane. Ponieważ aktywność pochodzi z legalnego kanału VPN, może ona przypominać normalną pracę zdalną i pozostawać niezauważona przez długi czas.
Eksperci zalecają natychmiastową aktualizację systemów, wyłączenie niepotrzebnych ciasteczek nadpisujących uwierzytelnianie oraz zakończenie wszystkich aktywnych sesji GlobalProtect po wdrożeniu łatek. Należy również sprawdzić system pod kątem podejrzanych połączeń, w tym sesji używających nazw hostów takich jak kali.
