Actieve ransomwaregroepen maken momenteel misbruik van een ernstige kwetsbaarheid in Palo Alto Networks-producten, die ongeautoriseerde VPN-verbindingen mogelijk maakt. De kwetsbaarheid, aangeduid als CVE-2026-0257, heeft een CVSS-score van 7.8 en wordt gekenmerkt door een hoge ernstclassificatie.

Deze authenticatiebypass stelt aanvallers, zelfs zonder geldige inloggegevens, in staat om beveiligingsmaatregelen te omzeilen en een VPN-verbinding op te zetten. Door gebruik te maken van de eigen VPN-infrastructuur van een organisatie, kan hun verkeer eruitzien als legitiem extern werk, wat detectie bemoeilijkt.

Dreigingsgroepen Qilin en Settra zijn geïdentificeerd als gebruikers van deze kwetsbaarheid. Zij creëren hiermee onbevoegde VPN-sessies om toegang te krijgen tot interne netwerken via vertrouwde externe diensten. Eerder onderzoek had al aangetoond dat Qilin de kwetsbaarheid gebruikte voor inbraken die leidden tot diefstal van inloggegevens en de implementatie van ransomware. Nu is Settra ook aan deze activiteiten gerelateerd.

Er is ook een verband met de tools Cobalt Strike, BloodHound en SharpHound in relatie tot deze aanvallen.

De kwetsbaarheid treft specifieke versies van PAN-OS, waaronder releases 12.1, 11.2, 11.1 en 10.2, evenals Prisma Access 11.2 en 10.2. Panorama en Cloud NGFW zijn niet getroffen door deze kwetsbaarheid.

Het is belangrijk op te merken dat de kwetsbaarheid afhankelijk is van de configuratie. De GlobalProtect portal of gateway moet de functie voor authenticatie override cookies geactiveerd hebben, in combinatie met een specifieke certificaatconfiguratie. Dit betekent dat niet elke implementatie van Palo Alto Networks-producten getroffen is.

Palo Alto Networks maakte de kwetsbaarheid zelf bekend op 13 mei 2026.

Organisaties wordt met klem aangeraden om getroffen systemen onmiddellijk te updaten. Daarnaast wordt geadviseerd om de authenticatie override cookies uit te schakelen indien deze niet essentieel zijn. Een aanbeveling is om een nieuw gegenereerd certificaat te gebruiken dat exclusief bedoeld is voor authenticatie override cookies, waarbij portaal- of gatewaycertificaten of eerder gebruikte certificaten niet hergebruikt mogen worden.

Updates dienen alle interne en externe GlobalProtect portals en gateways te omvatten die authenticatie cookies genereren of accepteren. Voor hybride Prisma Access omgevingen zijn ook upgrades van getroffen on-premise firewalls noodzakelijk.

Na het toepassen van patches wordt aangeraden om alle actieve GlobalProtect sessies te beëindigen en onverwachte verbindingen grondig te onderzoeken. Beveiligingsverantwoordelijken moeten prioriteit geven aan blootgestelde gateways en controleren op eventuele toegang die is verkregen voordat de beveiligingsmaatregelen werden geïmplementeerd.

De verwachting is dat de exploitatie van deze kwetsbaarheid de komende drie maanden zal aanhouden.