Operadores ligados ao ransomware Qilin exploraram uma falha no PAN-OS para invadir redes corporativas e criptografar sistemas. Os ataques observados em junho de 2026 começaram pelo serviço de VPN GlobalProtect, instalado em firewalls da Palo Alto Networks.
Identificada como CVE-2026-0257, a vulnerabilidade permite contornar a autenticação e estabelecer sessões VPN sem credenciais válidas. A exploração depende do uso de cookies de substituição de autenticação com determinadas configurações de certificado.
Após obter acesso, os invasores coletaram credenciais do Windows e do Active Directory, incluindo dados extraídos dos processos LSASS e NTDS. Contas administrativas comprometidas foram usadas para alcançar servidores, estações e sistemas de backup.
A movimentação lateral ocorreu principalmente com o PsExec e compartilhamentos administrativos. Ferramentas como AnyDesk, Ngrok, LogMeIn, NetExec e scanners de rede também apareceram em algumas invasões para ampliar e manter o acesso.
Antes da criptografia, os operadores desativaram a proteção em tempo real do Microsoft Defender e apagaram registros de eventos. O ransomware era armazenado como win.exe, geralmente dentro do diretório C:\PerfLogs\. Parte das vítimas sofreu apenas a criptografia dos equipamentos.
A falha afeta versões vulneráveis do PAN-OS 10.2, 11.1, 11.2 e 12.1, além de edições do Prisma Access. Panorama e Cloud NGFW não são afetados. A fabricante confirmou tentativas limitadas contra dispositivos sem correção.
