Уязвимость в корпоративных межсетевых экранах Palo Alto Networks превратилась в полноценный инструмент вымогателей, позволяющий проникать в защищённые сети без пароля. Подразделение Unit 42 подтвердило, что группировки Qilin и Inc используют ошибку в PAN-OS для обхода аутентификации и последующего продвижения по корпоративной инфраструктуре.

Речь идёт об уязвимости CVE-2026-0257 с оценкой 7,8 балла по CVSS 4.0. Ошибка затрагивает портал и шлюз GlobalProtect, через которые сотрудники подключаются к рабочим сетям по VPN. При определённых настройках злоумышленники могут обойти проверку подлинности, установить VPN-соединение и проникнуть во внутреннюю инфраструктуру, минуя даже многофакторную аутентификацию.

Кампании связывают с группировками Spikey Scorpius, известной как Qilin, и Tarnished Scorpius, использующей шифровальщик Inc. Публичные сообщения также указывают на причастность операторов Settra. Unit 42 расследует такие атаки с начала июня 2026 года. Среди пострадавших организаций встречаются медицинские учреждения, банки, промышленные предприятия, государственные структуры и компании других отраслей.

После проникновения вымогатели изучают внутреннюю сеть при помощи легитимных инструментов удалённого администрирования. Затем перемещаются между компьютерами через RDP и SMB, готовят средства кражи учётных данных и выгрузки информации. Следующим этапом может стать развёртывание шифровальщика. Ранее атаки через уязвимость GlobalProtect уже приводили к несанкционированным VPN-подключениям.

Особенно опасный сценарий Unit 42 команда обнаружила при атаке на виртуальную инфраструктуру. Получив доступ через VPN-шлюз, злоумышленники добрались до управляющего сервера VMware vCenter и отключили защитный механизм execInstalledOnly на гипервизорах ESXi. Затем специальная программа извлекла учётные данные непосредственно из виртуального диска VMDK контроллера домена, обходя средства обнаружения угроз внутри гостевой системы.

Злоумышленники также сочетали первоначальное проникновение через PAN-OS с эксплуатацией CVE-2023-27532 в инфраструктуре резервного копирования Veeam. Уязвимость получила 7,5 балла по CVSS 3.1. Такой подход расширяет возможности атакующих после взлома сетевого периметра. При этом точное число пострадавших организаций и подтверждённых случаев развёртывания шифровальщиков Unit 42 не раскрывает.

Проблему обнаружили ещё в мае, а исправления уже доступны для поддерживаемых версий PAN-OS. Уязвимыми остаются определённые конфигурации GlobalProtect с функцией повторной аутентификации через cookie. Palo Alto Networks рекомендует установить обновления, отключить опасную функцию либо использовать отдельный сертификат. Unit 42 также советует проверить журналы VPN-подключений и доступность интерфейсов управления через порты 4443 и 3879.