Cve-2026-0257

Recentemente, a Arctic Wolf Labs identificou um aumento nas intrusões cibernéticas que utilizam uma vulnerabilidade crítica no software PAN-OS da Palo Alto Networks, identificada como CVE-2026-0257, com uma pontuação CVSS de 7.8. Essa falha permite que atacantes não autenticados contornem a autenticação e estabeleçam sessões VPN sem credenciais válidas, especialmente quando cookies de substituição de autenticação estão habilitados. Os invasores têm usado essa vulnerabilidade como ponto de entrada para implantar o ransomware Qilin, também conhecido como Agenda, em ambientes de vítimas. As táticas pós-exploração variaram, mas incluíram desde operações rápidas de criptografia até extorsão dupla, sugerindo a atuação de múltiplos afiliados sob o modelo de ransomware como serviço (RaaS). Os atacantes têm mostrado padrões operacionais consistentes, como o uso do PsExec para execução lateral e a implementação de rotinas de limpeza de logs para evitar detecções. Apesar das semelhanças nas técnicas, as abordagens variaram entre as vítimas, com algumas focando em criptografia de dados sem exfiltração, enquanto outras realizaram roubo de credenciais e exfiltração de dados antes da implantação do ransomware. Essa situação destaca a necessidade urgente de monitoramento e mitigação por parte das empresas que utilizam o PAN-OS.

O grupo de ransomware Qilin está utilizando uma falha crítica de bypass de autenticação no GlobalProtect, software da Palo Alto Networks, para invadir redes corporativas. A vulnerabilidade, identificada como CVE-2026-0257, foi corrigida em 13 de maio, mas os ataques começaram a ser observados a partir de 17 de maio, conforme relatado pela Rapid7. A Palo Alto Networks alertou que a falha permite que atacantes contornem restrições de segurança e estabeleçam conexões VPN não autorizadas. A CISA dos EUA incluiu a vulnerabilidade em seu catálogo de falhas exploradas, exigindo que agências federais protegessem suas instâncias do GlobalProtect em três dias. A Arctic Wolf Labs revelou que múltiplas intrusões resultaram na implantação do ransomware Qilin, com evidências indicando que vários afiliados do grupo estão explorando essa falha. O Qilin, que opera sob um modelo de ransomware como serviço (RaaS), já afetou mais de 2.000 vítimas, incluindo grandes empresas como Nissan e Asahi. A situação é preocupante, pois mais de 167.000 instâncias do GlobalProtect estão expostas online, o que representa um risco significativo para organizações que ainda não aplicaram os patches necessários.

A Palo Alto Networks alertou sobre a exploração ativa de uma vulnerabilidade no PAN-OS, identificada como CVE-2026-0257, que possui uma pontuação CVSS de 7.8. Essa falha de autenticação permite que atacantes contornem controles de segurança e estabeleçam conexões VPN não autorizadas através dos portais GlobalProtect. A exploração foi observada em ataques limitados, com atividades iniciais registradas em 17 de maio de 2026. Até o momento, não se identificou comportamento pós-acesso ou movimentação lateral, e apenas uma pequena fração dos dispositivos sondados conseguiu estabelecer sessões VPN. A Palo Alto Networks disponibilizou indicadores de comprometimento (IoCs) e recomenda que os clientes verifiquem os logs do GlobalProtect em busca de eventos de conexão bem-sucedidos que correspondam a configurações específicas de cliente. A CISA dos EUA incluiu essa vulnerabilidade em seu catálogo de Vulnerabilidades Conhecidas Exploitadas, exigindo que agências federais mitigassem a falha até 1º de junho de 2026.

A Palo Alto Networks emitiu um alerta sobre a exploração de uma falha de bypass de autenticação no GlobalProtect, identificada como CVE-2026-0257. Essa vulnerabilidade permite que atacantes estabeleçam conexões VPN não autorizadas em dispositivos que não foram atualizados. Inicialmente classificada como de gravidade média, a falha teve sua classificação elevada para alta após a empresa identificar tentativas de exploração ativas em dispositivos não corrigidos. A Rapid7 também relatou que a exploração começou em 17 de maio de 2026, com hackers utilizando cookies de autenticação forjados para acessar contas de administrador local. Embora alguns atacantes tenham conseguido conectar-se via VPN, muitos não conseguiram estabelecer uma sessão VPN completa. A falha decorre da validação inadequada dos cookies de autenticação pelo PAN-OS, que não realiza verificação de assinatura. Organizações que utilizam dispositivos GlobalProtect devem aplicar imediatamente as atualizações de segurança disponíveis e considerar desativar a função de override de autenticação para mitigar o risco.