勒索团伙 Qilin 与 Settra 利用 Palo Alto GlobalProtect 漏洞(CVE-2026-0257)经 VPN 入侵

发生了什么

据 ReliaQuest(2026 年 10 月 11 日),Qilin、Settra 等勒索团伙正利用 Palo Alto GlobalProtect 与 Prisma Access 的 认证绕过漏洞 CVE-2026-0257 建立 未授权 VPN 会话。该漏洞于 5 月 13 日披露,CVSS 7.8。

原理

问题在于未经充分校验就信任的 认证覆盖 Cookie,仅特定证书配置受影响。受影响:PAN-OS 12.1、11.2、11.1、10.2,Prisma Access 11.2、10.2(Panorama 与 Cloud NGFW 不受影响)。

危险之处

攻击者 从企业自己的 VPN 进入,看似正常远程办公;还观察到 Cobalt Strike、BloodHound、SharpHound 活动。

应对

1. 按精确修复版本表 升级所有门户与网关
2. 不需要时 禁用覆盖 Cookie
3. 为 Cookie 使用 全新专用证书
4. 打补丁后 终止所有会话
5. 排查异常连接(如主机名 "kali")

VPN 连接成功 不等于用户合法。

来源

• Cybersecurity News (2026-10-11): https://cybersecuritynews.com/palo-alto-globalprotect-flaw-vpn-access/
• Hackers Radar (2026-10-11): https://hackersradar.com/critical-palo-alto-globalprotect-cve-2024-3400-exploited-by-ransomware/
• Palo Alto Networks security advisories: https://security.paloaltonetworks.com/

---

想检查 VPN 与可疑访问检测吗?KGA IT 提供免费咨询:kga-it.com