Los ciberdelincuentes están explotando activamente la vulnerabilidad CVE-2026-0257, que permite eludir la autenticación en Palo Alto Networks PAN-OS GlobalProtect, para obtener acceso remoto e implementar el ransomware Qilin. Los ataques se dirigen a firewalls conectados a internet y a implementaciones de Prisma Access, lo que permite a los atacantes establecer sesiones VPN que parecen legítimas.
Vulnerabilidad CVE-2026-0257
La vulnerabilidad CVE-2026-0257 afecta a los portales y gateways de GlobalProtect bajo ciertas configuraciones. Este fallo permite a un atacante establecer una sesión VPN sin credenciales válidas, haciendo que la conexión parezca legítima.
La vulnerabilidad afecta a las versiones PAN-OS 12.1, 11.2, 11.1 y 10.2 lanzadas antes de las correcciones de Palo Alto, así como a ciertas implementaciones de Prisma Access.
Tras obtener acceso, los operadores de Qilin establecen persistencia, implementan herramientas de acceso remoto como AnyDesk, Ngrok y LogMeIn, recopilan credenciales y extraen datos de Active Directory. A continuación, se desplazan lateralmente por el entorno e implementan ransomware tras deshabilitar los controles de seguridad y borrar los registros.
Esta vulnerabilidad permite a los atacantes obtener acceso VPN de confianza sin credenciales, eludiendo los controles que normalmente se basan en la autenticación de usuario y la autenticación multifactor (MFA).
Los investigadores han vinculado esta actividad con la operación de ransomware como servicio (RaaS) de Qilin . Como resultado, múltiples actores maliciosos podrían aprovechar la vulnerabilidad. Una vez dentro, los atacantes pueden robar credenciales, extraer datos, moverse lateralmente e implementar ransomware. Esto representa un riesgo significativo para las organizaciones con entornos GlobalProtect expuestos.
Las organizaciones que utilizan sistemas PAN-OS o Prisma Access vulnerables con servicios GlobalProtect conectados a Internet corren un alto riesgo.
Una explotación exitosa otorga a los atacantes acceso a los sistemas internos, incluidos servidores, interfaces administrativas y controladores de dominio. Pueden robar credenciales, extraer datos de Active Directory, instalar mecanismos de persistencia, filtrar información confidencial y, en última instancia, desplegar ransomware en todo el entorno.
Los atacantes también utilizan servicios de almacenamiento en la nube para guardar los datos robados. A menudo desactivan Microsoft Defender y borran los registros de eventos para dificultar la detección y la investigación. Incluso después de aplicar las actualizaciones, las organizaciones siguen en riesgo si no finalizan las sesiones VPN activas o restablecen las credenciales comprometidas.
- Actualice inmediatamente todos los sistemas PAN-OS y Prisma Access afectados.
- Finalice todas las sesiones VPN de GlobalProtect activas después de aplicar el parche.
- Revise las configuraciones de GlobalProtect, incluidas las cookies de anulación de autenticación y la configuración de certificados, y ajústelas a las mejores prácticas de Palo Alto.
- Restablezca las credenciales privilegiadas y de dominio si se sospecha de una vulneración de seguridad y aplique la autenticación multifactor (MFA) para la VPN y el acceso administrativo.
- Supervise la actividad sospechosa relacionada con herramientas como PsExec, AnyDesk, Ngrok, LogMeIn, Rclone, rundll32.exe, comsvcs.dll y ntdsutil.exe.
- Envíe los registros a una plataforma SIEM o de registro centralizada para mantener la visibilidad en caso de que se eliminen los registros locales.
- Restrinja el acceso a la VPN y aplique controles de acceso con privilegios mínimos a los sistemas sensibles.
