Попытки эксплуатации уязвимости в средствах удалённого доступа Palo Alto Networks начались вскоре после раскрытия сведений о ней. Атакующие обходят проверку подлинности и подключаются к внутренним сетям так же, как это делают сотрудники на удалённой работе. К схеме уже прибегают группировки, распространяющие программы-вымогатели Qilin и Settra. Под удар попадают организации, которые используют GlobalProtect и Prisma Access для удалённого доступа персонала: промышленные предприятия, государственные учреждения, компании среднего размера.
Описание
Уязвимость получила номер CVE-2026-0257. Речь идёт об обходе аутентификации в портале и шлюзе GlobalProtect. Злоумышленник не подтверждает свою личность, однако получает рабочий доступ к сети организации. Подверженность зависит от настроек: опасен режим, при котором система продлевает доступ без повторной проверки пароля, а также определённая конфигурация сертификатов. Само наличие GlobalProtect уязвимость не означает. Продукты Panorama и Cloud NGFW под неё не попадают. Администраторам стоит сверить параметры портала и шлюза с рекомендациями производителя, а не опираться на общие предположения о защищённости.
По мере развития атаки нападающие применяют Cobalt Strike, BloodHound и SharpHound - инструменты удалённого управления заражёнными системами и разведки внутри сети, как отмечает ReliaQuest. Тот же источник связывает эти находки с предупреждением: несанкционированный доступ к VPN нередко предшествует краже учётных данных, перемещению между узлами, утечке информации и запуску вымогателей. Далеко не каждый инцидент включает все три инструмента, и последовательность шагов тоже различается.
Отличить вторжение от обычной работы удалённого сотрудника трудно по одной причине: подключение идёт через собственную инфраструктуру компании, а не через подозрительные внешние адреса. Активность злоумышленника сливается с легитимным трафиком. Обнаружение может задержаться до момента, когда начнётся хищение паролей, боковое перемещение, выгрузка данных или развёртывание вымогательского ПО. Именно поэтому защита только на периметре здесь не помогает.
Расследование стоит строить вокруг неожиданных подключений к GlobalProtect. Отдельного внимания заслуживают сессии с именами устройств, отсылающими к популярному дистрибутиву Linux для проверки защищённости. Такое совпадение нельзя считать доказательством причастности конкретной группы; его оценивают вместе с историей подключений и другими свидетельствами. Полезно также сопоставить время входов с графиком работы сотрудников и географией офисов.
Первоочередная мера - обновить уязвимые системы. Если продление доступа без повторной проверки пароля не нужно для работы, такую настройку лучше отключить. После установки исправлений необходимо разорвать все активные сессии GlobalProtect и проверить список подключений на предмет лишних. Обновление само по себе не закрывает доступ, полученный до устранения проблемы. Устранение уязвимости и удаление уже существующего доступа - две разные задачи, и решать их нужно последовательно.
Прогноз на ближайшие три месяца остаётся неблагоприятным. Группировки, распространяющие программы-вымогатели, и посредники, торгующие первичным доступом в чужие сети, продолжат искать необновлённые системы. Высокая вероятность эксплуатации сохранится, пока организации не закроют уязвимость и не убедятся, что чужих сессий в их инфраструктуре не осталось.
Индикаторы компрометации
