Ransomwaroví útočníci se dostávají do sítí přes VPN Palo Alto, MFA je nezastaví

Palo Alto Networks potvrdila pokusy o zneužití chyby CVE-2026-0257 v GlobalProtect a tým Unit 42 v přehledu z 20. října 2026 popisuje, že ji ransomwarové skupiny používají k prvotnímu průniku do firemních sítí. Útočník se díky ní dostane do VPN bez platných přihlašovacích údajů a obejde i vícefaktorové ověření. Oprava existuje od května 2026 a zranitelná je jen část konfigurací, takže kontrola zabere několik minut.

Co se stalo

PAN-OS je operační systém firewallů Palo Alto Networks a GlobalProtect je jeho část, která zaměstnancům zajišťuje VPN přístup do firemní sítě. Chyba je v tom, že portál i gateway věří cookie pro obejití opakovaného přihlášení (authentication override cookie), aniž by ověřily její integritu (CWE-565). Útočník po síti, bez přihlášení a bez jakékoli součinnosti uživatele, tak může ustavit neoprávněné VPN spojení. Výrobce chybě přidělil CVSS 4.0 7,8 (vysoká závažnost), naléhavost ale označuje za nejvyšší a stav zneužití za „attacked“.

Horší, než vypadá, je kvůli tomu, co následuje. Podle Unit 42 slouží chyba jako vstupní bod ransomwarových operací. Skupiny, které Unit 42 označuje jako Spikey Scorpius (známá jako Qilin) a Tarnished Scorpius (Inc), po připojení k VPN prohledávají interní síť běžnými nástroji pro vzdálenou správu, pohybují se po síti přes RDP a SMB, sbírají přihlašovací údaje, odvážejí data a nakonec nasadí ransomware. Veřejné zprávy přiřazují zneužití i útočníkům s ransomwarem Settra. V jednom případě útočníci přešli z VPN brány přímo na virtualizační vrstvu: dostali se na správu vCenter, vypnuli na ESXi kontrolu execInstalledOnly a z virtuálního disku řadiče domény vytáhli přihlašovací údaje mimo běžící operační systém, takže ochrana uvnitř serverů neměla co zaznamenat. Vyšetřování Unit 42 běží od června 2026 a zahrnuje finanční služby, zdravotnictví, výrobu, dopravu, energetiku i státní sektor.

Týká se vás to?

Zasažené jsou firewally s PAN-OS řad 10.2, 11.1, 11.2 a 12.1 pod opravenými verzemi uvedenými v poradně výrobce a prostředí Prisma Access. Panorama a Cloud NGFW zasažené nejsou.

Současně musí platit tři podmínky: máte nakonfigurovaný GlobalProtect portál nebo gateway, jsou zapnuté cookies pro obejití opakovaného přihlášení a používá se konkrétní konfigurace certifikátu, kterým jsou tyto cookies chráněné. Jestli cookies používáte, zjistíte podle poradny výrobce takto:

• Na portálu: Network, GlobalProtect, Portals, váš portál, karta Agent, profil konfigurace agenta, karta Authentication. Podívejte se, jestli je zaškrtnutá volba Generate cookie for authentication override nebo Accept cookie for authentication override.
• Na gateway: Network, GlobalProtect, Gateways, vaše gateway, karta Agent, profil Client Settings, karta Authentication Override, volba Accept cookie for authentication override.

Co udělat hned

• Aktualizujte PAN-OS na opravenou verzi pro svou řadu. Výrobce uvádí 12.1.7 nebo 12.1.4-h6, dále 11.2.12, 11.2.10-h7, 11.2.7-h14 nebo 11.2.4-h17, pro řadu 11.1 verzi 11.1.15 nebo odpovídající hotfix a pro řadu 10.2 verzi 10.2.18-h6 nebo odpovídající hotfix. Cílovou verzi pro vaše sestavení má tabulka v poradně Palo Alto Networks k CVE-2026-0257.
• Prisma Access: 11.2.7-h13, respektive 10.2.10-h36. Výrobce uvádí, že prostředí zákazníků aktualizuje sám podle dohodnutého rozvrhu.
• Počítejte s tím, že po aktualizaci se cookie vytváří bezpečnějším způsobem a uživatelé GlobalProtectu se budou muset jednou znovu přihlásit. Je to jednorázové, řekněte jim to dopředu.
• Když aktualizaci nejde nasadit hned, vypněte cookies pro obejití opakovaného přihlášení, nebo pro ně použijte vyhrazený certifikát.
• Po aktualizaci ukončete stávající VPN sessions, aby nikdo nepokračoval na staré cookie.
• Zkontrolujte, jestli se vám přes GlobalProtect nedostalo na internet správcovské rozhraní. Unit 42 upozorňuje na opakovanou chybu v nastavení, kdy jsou profily GlobalProtectu navázané na služby HTTP a HTTPS na správcovském rozhraní a to je pak dostupné na portech 4443 a 3879. Ověříte to pokusem o HTTPS spojení na adresu správcovského rozhraní z internetu.

Jak poznat, že už jste napadení

Unit 42 zveřejnila v přehledu seznam indikátorů, včetně IP adres z doby před vydáním veřejného exploitu. Postup je tento:

• V logách GlobalProtectu hledejte úspěšná přihlášení pomocí cookie z IP adres, které u svých uživatelů nečekáte.
• Hledejte úspěšné události gateway-connected s podezřelými identifikátory zařízení nebo jmény počítačů, například s obecnými MAC adresami nebo jmény typu GP-CLIENT.
• Veřejný exploit má hodnoty klientské konfigurace zadané natvrdo. Podezřelá jsou proto spojení, která hlásí operační systém Microsoft Windows 10 Pro 64-bit a nemají uvedenou doménu uživatele.
• Když takové spojení najdete, spusťte postup pro řešení incidentu a kontrolujte i virtualizaci: přístupy k vCenter, změny nastavení ESXi a stahování disků VMDK.

Nestíháte to sledovat?

Zařízení na hraně sítě je potřeba hlídat průběžně, ne jednou za čtvrtletí. Pomáháme firmám nastavit, kdo sleduje oznámení výrobců, jak se rozhoduje o nasazení oprav a co se dělá, když oprava hned nejde. Podívejte se na externího manažera bezpečnosti nebo na posouzení bezpečnosti, případně nám napište přes kontaktní stránku. Úvodní konzultace je bezplatná. Jestli řešíte incident právě teď, je pro vás stránka právě řešíte incident.

O jiné chybě PAN-OS, CVE-2026-0322 ve správcovském rozhraní, jsme psali v přehledu zranitelností za týden 12. až 16. října 2026.

Zdroje: Palo Alto Networks, poradna k CVE-2026-0257 se zasaženými a opravenými verzemi · Unit 42, přehled zneužívání CVE-2026-0257 a indikátory · CISA, katalog známých zneužívaných zranitelností