Badacze z Arctic Wolf Labs ujawnili, że operatorzy ransomware Qilin masowo wykorzystują lukę CVE-2026-0257 w zaporach Palo Alto Networks z usługą GlobalProtect VPN. Podatność służy im jako punkt wejścia do firmowych sieci — od przełamania zapory do zaszyfrowania całej domeny Windows mija często zaledwie kilka godzin. To kolejny przykład tego, jak urządzenia brzegowe, które mają chronić sieć, same stają się furtką dla przestępców.
Na czym polega luka CVE-2026-0257
CVE-2026-0257 (CVSS 7.8) to obejście uwierzytelniania w portalu i bramie GlobalProtect systemu PAN-OS. Problem dotyczy konfiguracji, w których włączone są ciasteczka “authentication override”. Brama odszyfrowuje takie ciasteczko kluczem prywatnym, ale nie weryfikuje jego podpisu. Jeśli ten sam certyfikat obsługuje również interfejs HTTPS urządzenia, atakujący może odzyskać klucz publiczny i sfałszować ważne ciasteczko sesji — czyli zalogować się do VPN bez znajomości jakiegokolwiek hasła.
Palo Alto Networks załatało lukę już w maju, jednak kilka dni po publikacji poprawki firma Rapid7 zaobserwowała pierwsze ataki na swoich klientów. Skala była na tyle poważna, że amerykańska agencja CISA wpisała podatność do katalogu aktywnie wykorzystywanych luk (KEV) i nakazała instytucjom federalnym zabezpieczenie systemów w trzy dni.
Jak przebiega atak Qilin
Qilin działa w modelu ransomware-as-a-service, więc konkretne techniki różnią się między afiliantami, ale schemat jest powtarzalny. Po sforsowaniu VPN napastnicy zrzucają poświadczenia z pamięci procesu LSASS i wykradają bazę NTDS z kontrolera domeny. Przejęte konta administracyjne pozwalają im poruszać się po sieci przez udziały administracyjne Windows, a finałem jest zaszyfrowanie maszyn w całej domenie i żądanie okupu.
Charakterystyczne dla tej kampanii jest tempo — badacze opisują intruzje, w których od pierwszego logowania do uruchomienia szyfrowania minęło mniej czasu, niż trwa jedna zmiana robocza działu IT.
Jak się chronić
Administratorzy zapór Palo Alto powinni działać od razu. Przede wszystkim należy zaktualizować PAN-OS i Prisma Access do wersji z poprawką dla CVE-2026-0257. Sama aktualizacja nie wystarczy — po jej wgraniu trzeba wymusić zakończenie wszystkich aktywnych sesji GlobalProtect, bo sfałszowane ciasteczka mogą wciąż być ważne. Jeśli natychmiastowa aktualizacja nie jest możliwa, warto tymczasowo wyłączyć ciasteczka authentication override lub przypisać interfejsowi HTTPS osobny certyfikat.
Dobrą praktyką jest też przegląd logów VPN pod kątem nietypowych logowań z nieznanych adresów IP oraz włączenie uwierzytelniania wieloskładnikowego dla wszystkich kont zdalnego dostępu. Warto również ograniczyć uprawnienia kont administracyjnych i monitorować próby dostępu do LSASS oraz kopiowania bazy NTDS — to sygnały, że napastnik już jest w środku.
Podsumowanie
Historia Qilin i CVE-2026-0257 pokazuje znajomy schemat: luka załatana w maju, exploit w rękach przestępców kilka dni później, a ofiarami padają ci, którzy zwlekali z aktualizacją. Urządzenia VPN i zapory to dziś jeden z ulubionych celów grup ransomware, bo dają bezpośredni dostęp do wnętrza sieci. Jeśli Twoja firma korzysta z GlobalProtect — potraktuj tę aktualizację jako pilną, a nie jako zadanie “na kiedyś”.