O que está acontecendo
Grupos de ransomware estão explorando ativamente a CVE-2026-0257, um bypass de autenticação no GlobalProtect do PAN-OS e no Prisma Access, da Palo Alto Networks. Segundo a ReliaQuest, em atualização divulgada em 11 de outubro de 2026, vários atores, incluindo Qilin e Settra, estão usando a falha para abrir sessões de VPN não autorizadas e entrar nas redes internas.
A falha não é nova: foi divulgada em 13 de maio de 2026, com CVSS 7,8 (alta) e a urgência máxima de resposta recomendada pelo fabricante. O que muda é que a exploração agora é ampla e por mais de um grupo, não só o Qilin, que já havia sido visto antes.
Como funciona
- O problema está nos cookies de override de autenticação do GlobalProtect, que permitem reautenticar entre portal e gateway. A falha envolve confiar nesses cookies sem validação e checagem de integridade adequadas.
- Só ficam expostos portais ou gateways com esses cookies habilitados junto com uma configuração específica de certificado. Nem toda instalação é vulnerável.
- Afetados: PAN-OS 12.1, 11.2, 11.1 e 10.2; Prisma Access 11.2 e 10.2. Panorama e Cloud NGFW não são afetados.
Por que é perigoso
O atacante entra pela VPN da própria empresa. O tráfego parece trabalho remoto normal, o que dá tempo para roubar credenciais, mover-se lateralmente e preparar o ransomware. A ReliaQuest observou atividade associada a Cobalt Strike, BloodHound e SharpHound, ferramentas típicas de reconhecimento de Active Directory antes da cifragem.
A ReliaQuest avalia como muito provável que a exploração continue nos próximos três meses, por grupos de ransomware e corretores de acesso inicial.
O que fazer
- Atualize todos os portais e gateways GlobalProtect, internos e externos, para as versões corrigidas, conferindo a tabela de versões exatas do aviso, não só a versão principal. Em Prisma Access híbrido, atualize também os firewalls locais.
- Desative os cookies de override onde não forem necessários.
- Use um certificado novo e exclusivo para os cookies; não reaproveite o do portal/gateway nem de outro serviço.
- Encerre todas as sessões ativas do GlobalProtect depois do patch: o patch não remove acessos já estabelecidos. Os usuários terão de se autenticar de novo.
- Investigue conexões inesperadas, como dispositivos com hostname "kali" (pista, não prova), e sinais de Cobalt Strike ou coleta com SharpHound.
- Atualizações incompletas podem causar incompatibilidade de cookies entre componentes; planeje a janela.
A lição
VPN é porta de entrada favorita do ransomware em 2026: Check Point em junho, Citrix NetScaler em setembro e agora GlobalProtect. Uma conexão de VPN bem-sucedida não prova que o usuário é legítimo; monitore o que acontece depois dela.
Fontes
- Cybersecurity News (2026-10-11): https://cybersecuritynews.com/palo-alto-globalprotect-flaw-vpn-access/
- Hackers Radar (2026-10-11): https://hackersradar.com/critical-palo-alto-globalprotect-cve-2024-3400-exploited-by-ransomware/
- Palo Alto Networks security advisories: https://security.paloaltonetworks.com/
Quer revisar sua VPN e a detecção de acessos suspeitos? A KGA IT oferece uma consulta gratuita: kga-it.com.