Os grupos de ransomware Qilin e Settra estão explorando a CVE-2026-0257 para entrar em redes corporativas pelo GlobalProtect da Palo Alto Networks. A falha dispensa credencial válida e dá ao invasor um acesso de VPN que o ambiente trata como legítimo.
O problema está em como o produto lida com cookies de autenticação. O GlobalProtect confia no cookie sem validar sua integridade, então um invasor consegue forjar o conteúdo e passar pela checagem de identidade sem nunca apresentar uma senha.
São afetadas as versões 12.1, 11.2, 11.1 e 10.2 do PAN-OS, além do Prisma Access nas versões 11.2 e 10.2. O Panorama e o Cloud NGFW ficam de fora. A falha foi divulgada pela fabricante em 13 de maio.
A exploração ativa foi reportada pela ReliaQuest. Depois de entrar, os operadores roubam credenciais, se movem entre sistemas, reúnem dados sensíveis e preparam o ransomware, com apoio de ferramentas conhecidas como Cobalt Strike e BloodHound.
O ponto crítico é a confiança que o acesso por VPN carrega. Uma sessão autenticada do GlobalProtect entra como usuário interno, o que reduz o atrito de qualquer movimento posterior dentro da rede.
A correção já está disponível, mas a fabricante não publicou uma versão única: cada linha tem a sua, e o administrador precisa conferir a release de manutenção do próprio ambiente.
Atualizar não encerra o caso. A recomendação inclui desativar os cookies de substituição de autenticação onde não forem necessários, gerar certificados dedicados a esses cookies, encerrar todas as sessões ativas após o patch e investigar conexões inesperadas.
