Palo Alto Networks PAN-OS · Exploração confirmada

PAN-OS: exploração ativa da CVE-2026-0257 por ransomware e corretor k0t

28 de mai. de 2026 · 1 min de leitura

A CVE-2026-0257 permite bypass de autenticação no portal e gateway GlobalProtect do PAN-OS e está no catálogo KEV da CISA desde 13 de maio de 2026. A Unit 42 relata exploração ativa por operadores de ransomware (Qilin, Inc e, segundo relatos públicos, Settra), e a Group-IB ligou o corretor de acesso inicial k0t à falha e a mais de 70.000 credenciais expostas. Correções existem desde maio de 2026: atualize o PAN-OS ou desative a autenticação override.

Por Redação HIFY Radar Atualizado 26/10/2026 13:38 Receba isso todo dia →← Voltar ao feed 5 fontes

CríticaFalhaExploração confirmadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A CVE-2026-0257 permite que um atacante ignore a autenticação do GlobalProtect de firewalls Palo Alto e estabeleça conexão VPN não autorizada. A falha entrou no catálogo KEV da CISA em 13 de maio de 2026 e é explorada ativamente. A Unit 42 relata uso por operadores de ransomware e a Group-IB ligou o corretor de acesso inicial k0t à falha.

Por que importa

Invasores entram na rede sem senha, contornam MFA e, segundo a Unit 42, avançam para roubo de credenciais, exfiltração de dados e ransomware. A Group-IB diz que organizações comprometidas na campanha k0t apareceram em sites de vazamento dos grupos Qilin e The Gentlemen. Empresas com firewalls Palo Alto expostos, com GlobalProtect e cookies de autenticação habilitados, estão no alvo.

O que fazer

Atualize o PAN-OS hoje para uma versão corrigida (por exemplo 12.1.7, 11.2.12, 11.1.15 ou 10.2.18-h6, conforme a versão instalada). Enquanto isso, desative a autenticação override do GlobalProtect ou use um certificado dedicado para os cookies. Revise os logs de conexão do GlobalProtect em busca dos indicadores publicados.

Para o time técnico

CVE: CVE-2026-0257
Afetados: Palo Alto Networks PAN-OS · PAN-OS 12.1 < 12.1.4-h6 e < 12.1.7; 11.2 < 11.2.4-h17, < 11.2.7-h14, < 11.2.10-h7 e < 11.2.12; 11.1 < 11.1.4-h33, < 11.1.6-h32, < 11.1.7-h6, < 11.1.10-h25, < 11.1.13-h5 e < 11.1.15; 10.2 < 10.2.7-h34, < 10.2.10-h36, < 10.2.13-h21, < 10.2.16-h7 e < 10.2.18-h6; Prisma Access 11.2.0 < 11.2.7-h13 e 10.2.0 < 10.2.10-h36. Panorama e Cloud NGFW não são afetados.
Exploração: KEV da CISA desde 13 de maio de 2026; PoC pública em 29 de maio de 2026. A Palo Alto relata tentativas limitadas de exploração em dispositivos sem correção e sem mitigação. A Unit 42 observou exploração ativa desde junho de 2026 e, em 19 de outubro, citou os operadores de ransomware Spikey Scorpius (Qilin) e Tarnished Scorpius (Inc), além de Settra por relatos públicos. A Group-IB (com NyxLab) atribui ao corretor k0t uma ferramenta dedicada à CVE-2026-0257.
Correção: Atualizar: 12.1 para 12.1.4-h6 ou 12.1.7+; 11.2 para 11.2.4-h17+, 11.2.7-h14+, 11.2.10-h7+ ou 11.2.12+; 11.1 para 11.1.4-h33+, 11.1.6-h32+, 11.1.7-h6+, 11.1.10-h25+, 11.1.13-h5+ ou 11.1.15+; 10.2 para 10.2.7-h34+, 10.2.10-h36+, 10.2.13-h21+, 10.2.16-h7+ ou 10.2.18-h6+; Prisma Access para 11.2.7-h13+ ou 10.2.10-h36+. Mitigações: certificado dedicado para cookies de autenticação override, ou desativar a autenticação override. Após o upgrade, usuários do GlobalProtect reautenticam uma vez.
Vetor: Bypass de autenticação (CWE-565, cookies sem validação de integridade) no portal e gateway GlobalProtect do PAN-OS. Vetor de rede, complexidade baixa, sem privilégios nem interação do usuário; CVSS 7.8 segundo a Palo Alto. Exige firewall com portal ou gateway GlobalProtect configurado, cookies de autenticação override habilitados e uma configuração específica de certificado. A Group-IB descreve ferramenta que forja o cookie com a chave pública do certificado TLS do alvo e envia senha vazia para /ssl-vpn/login.esp.
Mais detalhes: Vulnerabilidade descoberta internamente pela Palo Alto; aviso publicado em 13 de maio e atualizado em 3 de junho de 2026. Unit 42 descreve pós-exploração: reconhecimento com ferramentas RMM de uso duplo, movimento lateral via RDP e SMB, pivô do gateway VPN ao vCenter, desativação de controles em ESXi (execInstalledOnly) e dumping offline de credenciais no VMDK de um controlador de domínio, além de cadeia com a CVE-2023-27532 do Veeam. Group-IB (21 de outubro, com NyxLab): k0t seleciona alvos via FOFA e ZoomEye, usa a ferramenta CVE-2026-0257 PAN-OS GlobalProtect Scanner + VPN Connect do desenvolvedor BeiDou, persiste com MeshCentral, AdaptixC2, Atera, Teramind, AnyDesk e ngrok, e exfiltra com Rclone para Wasabi S3 e MEGA; mais de 70.000 credenciais expostas recuperadas, sem vínculo confirmado com os grupos de ransomware. Unit 42 também alerta que perfis GlobalProtect mapeados à interface de gerência expõem as portas 4443 e 3879 (campanha Lunar Peak).