Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Operatorzy ransomware Qilin wykorzystują podatność CVE-2026-0257 w systemie Palo Alto Networks PAN-OS jako wektor dostępu początkowego do środowisk ofiar. Problem dotyczy obejścia uwierzytelniania w komponentach GlobalProtect portal i gateway, co w określonych konfiguracjach może umożliwić zestawienie sesji VPN bez prawidłowych poświadczeń. W praktyce oznacza to, że urządzenie brzegowe odpowiedzialne za zdalny dostęp może stać się bezpośrednim punktem wejścia do dalszej kompromitacji sieci.
W skrócie
W incydentach obserwowanych w czerwcu 2026 r. atakujący rozpoczynali włamanie od eksploatacji CVE-2026-0257, a następnie wdrażali ransomware Qilin. Typowy scenariusz obejmował ustanowienie sesji SSL VPN, pozyskanie poświadczeń, ruch boczny z użyciem udziałów administracyjnych Windows oraz uruchomienie ładunku szyfrującego przez PsExec. W części przypadków operacje kończyły się wyłącznie szyfrowaniem, a w innych obejmowały również kradzież danych i podwójne wymuszenie.
- wektor wejścia: podatny GlobalProtect w PAN-OS,
- cel: uzyskanie dostępu początkowego do sieci wewnętrznej,
- dalsze etapy: rekonesans, kradzież poświadczeń, ruch boczny, szyfrowanie,
- model działania: ransomware-as-a-service z aktywnością różnych afiliantów.
Kontekst / historia
Qilin, znany także jako Agenda, działa w modelu RaaS, w którym różni operatorzy korzystają ze wspólnych narzędzi, ale mogą stosować odmienne techniki po uzyskaniu dostępu. W opisywanej kampanii kluczową rolę odegrała luka CVE-2026-0257, oceniona na 7.8 w skali CVSS.
Podatność została opisana jako obejście uwierzytelniania w GlobalProtect i dotyczy wybranych wersji PAN-OS oraz powiązanych wdrożeń. Problem ujawniono w maju 2026 r., a producent zaktualizował zalecenia oraz wersje naprawcze na początku czerwca 2026 r. Jednocześnie zespoły monitorujące zagrożenia odnotowały aktywną eksploatację, co potwierdza, że urządzenia edge pozostają jednym z najszybciej nadużywanych elementów infrastruktury po ujawnieniu luki.
Analiza techniczna
Warunkiem skutecznej eksploatacji CVE-2026-0257 jest obecność podatnej konfiguracji GlobalProtect, umożliwiającej obejście procesu uwierzytelniania i ustanowienie sesji VPN bez ważnych danych logowania. To szczególnie groźny scenariusz, ponieważ atak rozpoczyna się na warstwie zdalnego dostępu wystawionej bezpośrednio do Internetu.
Po uzyskaniu dostępu operatorzy przechodzili do kolejnych etapów kompromitacji:
- zestawienie sesji VPN widocznej jako legalna z perspektywy infrastruktury,
- rekonesans środowiska i identyfikacja systemów o podwyższonych uprawnieniach,
- pozyskiwanie poświadczeń administracyjnych,
- ruch boczny przy użyciu udziałów administracyjnych Windows,
- zdalne uruchamianie narzędzi i ładunku ransomware przez PsExec,
- wyłączanie Microsoft Defender Real-Time Protection,
- czyszczenie logów zdarzeń w celu utrudnienia analizy śledczej.
W analizowanych incydentach powtarzały się także charakterystyczne wzorce operacyjne. Ładunki ransomware były przygotowywane między innymi w ścieżce C:\PerfLogs\, a niektóre pliki zabezpieczano hasłem, co mogło utrudniać detekcję. Badacze zwracali również uwagę na nietypowy mechanizm utrzymania dostępu w rejestrze Windows oparty o nazwę zawierającą gwiazdkę oraz sześć losowych małych liter.
Zakres działań po kompromitacji różnił się w zależności od ofiary. W części przypadków dominował szybki wariant szyfrujący bez eksfiltracji danych, natomiast w innych atakujący prowadzili szerszy rekonesans, korzystali z narzędzi zdalnego dostępu i kopiowali dane do usług chmurowych przed uruchomieniem ransomware. Taka zmienność jest typowa dla modelu afiliacyjnego RaaS.
Konsekwencje / ryzyko
Największe ryzyko dotyczy organizacji, które używają GlobalProtect jako głównego kanału dostępu zdalnego i nie wdrożyły poprawek lub bezpiecznej konfiguracji. Kompromitacja urządzenia VPN może oznaczać przejęcie zaufanego punktu wejścia do sieci wewnętrznej, co znacząco obniża skuteczność tradycyjnych kontroli perymetrycznych.
- niedostępność systemów w wyniku szyfrowania,
- utrata danych i ryzyko ich wycieku,
- nadużycie kont uprzywilejowanych,
- utrudnione dochodzenie powłamaniowe przez usunięcie logów,
- wzrost kosztów odtwarzania środowiska i obsługi incydentu.
Szczególnie niebezpieczne jest to, że wektor wejścia może opierać się na legalnie wyglądającej sesji VPN. Organizacje polegające wyłącznie na sygnałach takich jak nieudane logowania lub prostych regułach anomalii mogą wykryć incydent zbyt późno.
Rekomendacje
Organizacje korzystające z PAN-OS powinny niezwłocznie zweryfikować, czy ich instancje GlobalProtect są objęte podatnością CVE-2026-0257, a następnie przejść do wersji naprawczych wskazanych przez producenta. Samo załatanie luki warto połączyć z przeglądem konfiguracji uwierzytelniania oraz walidacją ustawień dotyczących cookies i certyfikatów.
- pilna aktualizacja podatnych wersji PAN-OS,
- przegląd logów GlobalProtect, VPN i firewalli pod kątem nietypowych sesji z czerwca i lipca 2026 r.,
- rotacja poświadczeń administracyjnych po każdej podejrzanej aktywności,
- audyt użycia PsExec, udziałów administracyjnych oraz kont z wysokimi uprawnieniami,
- monitoring ścieżek stagingowych, w tym
C:\PerfLogs\, - wykrywanie prób wyłączania Microsoft Defender oraz czyszczenia dzienników zdarzeń,
- kontrola ruchu do usług przechowywania plików i narzędzi zdalnego dostępu,
- segmentacja sieci i ograniczenie zasięgu kont uprzywilejowanych,
- przygotowanie procedur IR dla scenariusza kompromitacji urządzenia brzegowego.
W środowiskach o podwyższonym ryzyku urządzenia VPN powinny być traktowane jak systemy krytyczne i objęte telemetrią porównywalną z serwerami produkcyjnymi. Obejmuje to korelację zdarzeń z EDR, SIEM i logami tożsamości oraz regularne przeglądy konfiguracji ekspozycji internetowej.
Podsumowanie
Kampania wykorzystująca CVE-2026-0257 pokazuje, że podatności w urządzeniach dostępu zdalnego pozostają jednym z najcenniejszych wektorów dla operatorów ransomware. W przypadku Qilin luka w PAN-OS umożliwiała wejście do środowiska, po którym następowały klasyczne etapy ataku: pozyskanie poświadczeń, ruch boczny, osłabienie zabezpieczeń i finalne szyfrowanie lub podwójne wymuszenie. Dla zespołów bezpieczeństwa kluczowe pozostają szybkie aktualizacje, ścisła kontrola dostępu uprzywilejowanego oraz aktywne poszukiwanie śladów nadużycia sesji VPN.
Źródła
- The Hacker News — https://thehackernews.com/2026/07/qilin-ransomware-attackers-exploit-pan.html
- Palo Alto Networks Security Advisory: CVE-2026-0257 PAN-OS: GlobalProtect Authentication Bypass Vulnerabilities — https://security.paloaltonetworks.com/CVE-2026-0257
- Arctic Wolf — CVE-2026-0257: PAN-OS GlobalProtect Authentication Bypass — https://arcticwolf.com/resources/blog/cve-2026-0257-pan-os-globalprotect-authentication-bypass/
- NVD — CVE-2026-0257 — https://nvd.nist.gov/vuln/detail/CVE-2026-0257
- Unit 42 Threat Brief: Active Exploitation of PAN-OS CVE-2026-0257 — https://unit42.paloaltonetworks.com/active-exploitation-of-pan-os-cve-2026-0257/