Eksperci z Unit 42 odnotowali intensywne wykorzystywanie luki CVE-2026-0257 w oprogramowaniu PAN-OS. Podatność ta pozwala napastnikom na obejście mechanizmów uwierzytelniania w komponentach portalu oraz bramy GlobalProtect, co umożliwia nieautoryzowane nawiązanie połączeń VPN i ominięcie zabezpieczeń MFA.
Po uzyskaniu dostępu, grupy ransomware stosują zaawansowane techniki, takie jak rekonesans przy użyciu narzędzi RMM oraz ruch boczny przez protokoły RDP i SMB. Szczególnie niebezpiecznym trendem jest pivot bezpośrednio do warstwy wirtualizacji, np. poprzez atak na vCenter, co pozwala na manipulację hiperwizorami ESXi i kradzież poświadczeń bezpośrednio z dysków wirtualnych (VMDK).
Ataki te dotykają wielu sektorów, w tym usług finansowych, technologii oraz energetyki. Napastnicy łączą tę lukę z innymi exploitami, na przykład celującymi w infrastrukturę kopii zapasowych Veeam, aby zmaksymalizować skalę zniszczeń.
Organizacje powinny niezwłocznie zaktualizować systemy PAN-OS do wersji zawierającej poprawkę lub wdrożyć zalecane obejścia. Zaleca się również aktywne przeszukiwanie logów GlobalProtect pod kątem wskazanych adresów IP oraz podejrzanych identyfikatorów urządzeń.
