PAN-OS: kihasznált GlobalProtect
A Palo Alto Networks Unit 42 október 20-án frissített elemzése szerint több zsarolóvírus-csoport is aktívan kihasználja a PAN-OS operációs rendszer CVE-2026-0257 azonosítójú sérülékenységét. A 7,8-as CVSS 4.0 besorolású hiba a GlobalProtect VPN-portál és -átjáró hitelesítésének megkerülését teszi lehetővé, így a támadók jogosulatlan VPN-kapcsolatot létesíthetnek.
A kutatók a Qilin és az Inc zsarolóvírus-csoportokhoz kötődő támadásokat azonosítottak. Nyilvános jelentések a Settra ransomware használóit is összefüggésbe hozták a sérülékenységgel. A támadók a VPN-hozzáférés megszerzése után megkerülhetik a többtényezős hitelesítést, felderíthetik a belső hálózatot, majd RDP- és SMB-kapcsolatokkal terjeszkedhetnek. A további lépések között hitelesítőadat-lopás, adatkiszivárogtatás és zsarolóvírus telepítése szerepel.
Az egyik legsúlyosabb incidensben a támadók a VPN-routereken közvetlenül a VMware vCenter felügyeleti rendszerére jutottak. Ezután módosították az ESXi hipervizor biztonsági beállításait, és egy egyedi eszközzel a tartományvezérlő virtuális lemezéből próbáltak hitelesítő adatokat kinyerni. Ez a módszer megkerülheti a virtuális gépeken belül működő végpontvédelmi rendszereket.
A sérülékenység május óta ismert, és szerepel a CISA aktívan kihasznált hibákat tartalmazó KEV-katalógusában. A Unit 42 június eleje óta több iparágban vizsgál kapcsolódó incidenseket, köztük egészségügyi, pénzügyi, kormányzati és ipari szervezeteknél.
A védekezéshez elengedhetetlen a PAN-OS javított verziójára frissítés, valamint a GlobalProtect-naplók ellenőrzése. Különösen a szokatlan, sikeres VPN-kapcsolatokat, gyanús kliensazonosítókat és a belső rendszerekhez történő váratlan hozzáféréseket kell vizsgálni.
