Un numero crescente di gruppi di ransomware, tra cui Qilin e Inc, sta attaccando i firewall di Palo Alto Networks, sfruttando una vulnerabilità ad alta gravità nel sistema operativo PAN-OS. Questa situazione è stata oggetto di indagine da parte di Unit 42, il team di risposta agli incidenti e consulenze della stessa Palo Alto, che ha monitorato gli attacchi dall’inizio di giugno in vari settori, tra cui finanza, sanità e manifattura.
La vulnerabilità, identificata come CVE-2026-0257, colpisce i portali e i gateway GlobalProtect di PAN-OS, consentendo agli attaccanti di eludere le restrizioni di sicurezza e stabilire una connessione VPN non autorizzata. Questo bug era stato segnalato e corretto dalla società il 13 maggio con una valutazione iniziale di gravità media, con affermazioni secondo cui le loro indagini non avevano evidenziato tentativi di sfruttamento dannoso.
Tuttavia, questa valutazione è cambiata rapidamente e, alla fine di maggio, i ricercatori di Rapid7 hanno riferito di avere osservato sfruttamenti riusciti in ambienti di vari clienti a partire dal 17 maggio. Il team di Unit 42 ha comunicato lunedì che gruppi di ransomware, tra cui Qilin e Inc, continuano a sfruttare la vulnerabilità CVE-2026-0257.
“Gli attaccanti stanno sfruttando questa vulnerabilità per ottenere un accesso iniziale alle reti aziendali e, successivamente, bypassare i controlli di autenticazione multifattoriale (MFA) per stabilire una sessione VPN,” ha dichiarato Andy Piazza, direttore senior dell’intelligence sulle minacce di Unit 42. Dopo aver ottenuto l’accesso iniziale, i criminali si muovono lateralmente nel sistema utilizzando protocolli come Remote Desktop Protocol (RDP) e Server Message Block (SMB), per installare malware aggiuntivo con lo scopo di rubare credenziali e dati, prima di lanciare il ransomware.
Unit 42 ha identificato che i criminali ransomware stanno infettando “numerosi settori, tra cui istruzione, servizi finanziari, sanità, alta tecnologia, ospitalità, manifattura, servizi professionali e legali, governo, trasporti e logistica, utility ed energia, e commercio all’ingrosso e al dettaglio.”
Palo Alto Networks non ha fornito commenti su quanti siano attualmente le organizzazioni infettate o sulle dinamiche degli attacchi. I gruppi di minaccia, tra cui gli operatori di ransomware Settra, stanno anch’essi sfruttando il bug per ottenere accesso non autorizzato alle reti aziendali tramite sessioni VPN compromesse.
“La più significativa evoluzione nelle tattiche, tecniche e procedure (TTP) dopo lo sfruttamento di CVE-2026-0257 è il passaggio diretto al livello di virtualizzazione,” ha scritto Piazza. “In un caso notevole, gli attaccanti sono passati dal gateway VPN compromesso all’appliance di gestione vCenter, disabilitando i controlli di sicurezza sugli ipervisori ESXi e utilizzando uno strumento personalizzato per eseguire il dumping offline delle credenziali direttamente contro il disco virtuale di un controller di dominio (VMDK).”
Questo approccio consente ai malintenzionati di eludere i prodotti di rilevamento e risposta alle minacce all’interno delle VM e rappresenta un “metodo altamente sofisticato” per rubare le credenziali di dominio, ha aggiunto Piazza. Inoltre, Unit 42 ha notato che i criminali stanno concatenando questo exploit per accedere inizialmente con altre vulnerabilità, come la CVE-2023-27532, che mira alle infrastrutture di backup Veeam.
Gli esperti consigliano, pertanto, di effettuare immediatamente la patch delle versioni vulnerabili del software PAN-OS e di verificare se ci sono già attaccanti che hanno guadagnato accesso alle reti. È opportuno controllare gli indicatori di compromissione forniti da Unit 42 per assistere nelle attività di ricerca delle minacce.
