Ransomwarové skupiny útočí přes chybu v Palo Alto Networks PAN-OS

Ransomwarové skupiny Qilin, INC a Settra zneužívají chybu CVE-2026-0257 v operačním systému firewallů PAN-OS od společnosti Palo Alto Networks. Útoky míří na organizace, které používají službu GlobalProtect pro vzdálené připojení.

Chyba umožňuje obejít ověření uživatele na portálech a branách GlobalProtect. Útočník tak může navázat neoprávněné VPN připojení k firemní síti a obejít vícefaktorové ověření.

Palo Alto Networks zveřejnila opravu 13. května 2026. Chybu původně hodnotila jako středně závažnou. Výzkumníci společnosti Rapid7 však později potvrdili úspěšné útoky nejméně od 17. května. Od začátku června napadení vyšetřuje také tým Unit 42 společnosti Palo Alto Networks.

Po průniku do sítě se útočníci přesouvají k dalším počítačům pomocí vzdálené plochy a sdílení souborů. Nasazují programy pro získávání přihlašovacích údajů, kradou data a nakonec spouštějí ransomware. Unit 42 zaznamenala případy ve finančních službách, zdravotnictví, výrobě, dopravě, maloobchodu, energetice i veřejné správě.

V jednom vyšetřovaném případě se útočníci dostali také k vCenter a virtualizačním serverům ESXi. Vypnuli jejich bezpečnostní kontroly a získávali přihlašovací údaje přímo z virtuálního disku řadiče domény. Tím obešli ochranu nainstalovanou uvnitř napadených virtuálních počítačů. Útočníci mohou zároveň zneužít starší chybu CVE-2023-27532 v zálohovací infrastruktuře Veeam.

Palo Alto Networks neuvedla počet napadených organizací. Vedle kontroly instalace květnové opravy má proto v prostředí s PAN-OS smysl prověřit, zda před aktualizací nevzniklo neoprávněné VPN připojení nebo nedošlo k pohybu útočníků uvnitř sítě. Organizací bez PAN-OS a GlobalProtect se tato konkrétní chyba netýká.