CVE-2026-0257: ransomware explora falha no PAN-OS via GlobalProtect

Ilustração técnica do acesso remoto via GlobalProtect atravessando uma barreira de autenticação comprometida e alcançando a infraestrutura corporativa

Investigação da Unit 42 aponta que operadores ligados a Qilin e INC vêm usando a CVE-2026-0257 para burlar a autenticação do GlobalProtect, abrir sessões VPN e avançar sobre redes corporativas antes da implantação do ransomware.

Uma falha de autenticação no PAN-OS, sistema operacional dos firewalls da Palo Alto Networks, passou a ser explorada por diferentes operadores de ransomware em uma sequência de ataques observada desde o início de junho. O alerta ganhou peso porque a vulnerabilidade não é apenas uma possibilidade teórica: ela permite que um invasor remoto sem credenciais estabeleça uma conexão VPN por meio do GlobalProtect em aparelhos que mantenham uma configuração específica.

A Unit 42, divisão de inteligência e resposta a incidentes da Palo Alto Networks, informou em atualização publicada em 20 de outubro que suas investigações alcançaram organizações de educação, serviços financeiros, saúde, tecnologia, hotelaria, indústria, governo, transporte, energia e varejo. O grupo atribui a exploração a operadores de ransomware identificados como Spikey Scorpius, conhecido também como Qilin, e Tarnished Scorpius, associado ao INC. Relatos públicos também mencionam o uso do ransomware Settra, mas isso não equivale a uma atribuição única para todos os incidentes.

A falha abre uma sessão VPN sem a credencial esperada

Registrada como CVE-2026-0257, a vulnerabilidade recebeu pontuação CVSS 7.8, classificação alta e urgência máxima no boletim da Palo Alto Networks. O problema está relacionado à forma como determinados cookies de substituição de autenticação são tratados no portal e no gateway do GlobalProtect. Quando a configuração vulnerável está presente, o atacante pode contornar as restrições de autenticação e iniciar uma sessão VPN não autorizada.

Na prática, isso muda a posição do invasor dentro do ambiente. Em vez de tentar convencer um usuário, explorar uma estação de trabalho ou roubar uma senha antes de entrar, ele pode chegar ao equipamento de borda e obter uma conexão que o sistema interpreta como autenticada. A existência de MFA não elimina automaticamente o risco quando o fluxo vulnerável permite contornar a etapa que deveria exigir a autenticação.

A condição de exposição depende da configuração. A Palo Alto Networks informa que o risco envolve portais ou gateways GlobalProtect com opções de geração ou aceitação de cookies de substituição de autenticação habilitadas, combinadas com uma configuração específica de certificado. A empresa também esclarece que Panorama e Cloud NGFW não são afetados por essa vulnerabilidade.

Do firewall à rede corporativa

Os ataques analisados pela Unit 42 mostram por que o comprometimento de um appliance de borda não deve ser tratado como um evento isolado. Depois de estabelecer a sessão VPN, os operadores realizaram reconhecimento interno com ferramentas de administração remota, movimentaram-se por RDP e SMB, prepararam ferramentas para coleta de credenciais e exfiltração e, em seguida, implantaram o ransomware.

Em um dos casos descritos, o caminho chegou à camada de virtualização. A partir do gateway comprometido, os invasores alcançaram o vCenter, desativaram uma proteção nos hipervisores ESXi e usaram uma ferramenta própria para extrair credenciais diretamente do disco virtual de um controlador de domínio. Essa abordagem contorna parte dos controles instalados dentro do sistema operacional convidado, incluindo mecanismos tradicionais de detecção e resposta em endpoint.

A Unit 42 também observou a combinação da entrada pelo GlobalProtect com ferramentas voltadas à infraestrutura de backup, incluindo a exploração da CVE-2023-27532 no Veeam. O encadeamento é importante porque transforma uma falha na borda em uma rota para identidade, virtualização, backup e recuperação — justamente os componentes que determinam se uma organização conseguirá retomar a operação depois de um ataque.

Notícias Relacionadas

O que as organizações devem fazer agora

A primeira medida é confirmar se há portais e gateways GlobalProtect em versões afetadas e se a configuração de autenticação por cookie está habilitada. O boletim da Palo Alto Networks orienta a atualização para versões corrigidas e recomenda que todos os componentes que geram ou aceitam esses cookies sejam tratados de forma coordenada, inclusive quando existem ambientes internos e externos ou uma arquitetura híbrida com Prisma Access.

Atualizar o PAN-OS para uma versão corrigida conforme a ramificação instalada: 12.1.4-h6 ou 12.1.7 e posteriores; 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 ou 11.2.12 e posteriores; 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 ou 11.1.15 e posteriores; e 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 ou 10.2.18-h6 e posteriores.
Desabilitar temporariamente o Authentication Override quando a função não for indispensável ou quando a atualização não puder ser executada imediatamente.
Usar um certificado dedicado para os cookies de substituição de autenticação, sem reutilizar o certificado do portal ou do gateway em outras funções.
Investigar antes de encerrar o incidente: revisar logs do GlobalProtect, sessões bem-sucedidas fora do padrão, mudanças de configuração, conexões RDP e SMB, uso de ferramentas RMM, acesso ao vCenter, alterações em ESXi e atividade no ambiente de backup.
Revogar a confiança obtida durante a intrusão, com rotação de credenciais privilegiadas, invalidação de sessões, revisão de contas administrativas e verificação de certificados e chaves que possam ter sido acessados.

A inclusão da CVE-2026-0257 no catálogo de vulnerabilidades exploradas da CISA, em 29 de maio, já indicava que a priorização deveria ser feita pela exploração real, não apenas pela nota de severidade. A análise da Rapid7 havia identificado exploração bem-sucedida em diferentes clientes desde 17 de maio, enquanto pesquisadores da Arctic Wolf documentaram intrusões de junho que avançaram da exploração do firewall até a criptografia de ambientes inteiros pelo Qilin.

Não há, nas fontes consultadas, confirmação de que a investigação da Unit 42 tenha identificado vítimas brasileiras. O risco, porém, é diretamente aplicável a organizações no Brasil que utilizem PAN-OS, GlobalProtect ou Prisma Access em versões afetadas. O ponto central não é a nacionalidade das vítimas, mas a presença de um serviço de acesso remoto exposto, com uma configuração vulnerável e acesso potencial a redes que concentram identidades, virtualização e dados críticos.

Também é importante não encerrar a resposta apenas com a instalação do patch. Se houve uma conexão VPN bem-sucedida durante o período de exposição, a correção elimina a vulnerabilidade, mas não prova que o atacante não tenha criado persistência, copiado credenciais, alterado regras ou alcançado outros sistemas. A investigação precisa acompanhar o caminho completo do acesso, e não apenas o equipamento que recebeu a atualização.