VPN Palo Alto GlobalProtect : des groupes de ransomware exploitent une faille pour entrer sans mot de passe
La faille CVE-2026-0257, corrigée en mai, est exploitée par les gangs Qilin et Settra pour ouvrir des sessions VPN sans identifiants. Mettre à jour ne suffit pas : il faut aussi chercher les intrus.
Le VPN, porte d’entrée préférée des rançongiciels, a encore frappé. Selon la société de sécurité ReliaQuest, les groupes Qilin et Settra exploitent la faille CVE-2026-0257 des solutions VPN GlobalProtect de Palo Alto Networks pour s’introduire dans les réseaux d’entreprises.
Une faille de contournement d’authentification
Divulguée par Palo Alto le 13 mai 2026, la faille permet à un attaquant sans identifiants valides d’ouvrir une session VPN et d’accéder au réseau interne. Elle est notée 7,8 sur 10 (CVSS), avec le niveau d’urgence le plus élevé chez l’éditeur.
Produits concernés :
- PAN-OS 12.1, 11.2, 11.1 et 10.2 ;
- Prisma Access 11.2 et 10.2.
Panorama et Cloud NGFW ne sont pas touchés. Toutes les installations ne sont pas vulnérables : la faille concerne les portails et passerelles qui utilisent les cookies de contournement d’authentification (authentication override cookies) avec une configuration de certificat particulière.
Ce que font les attaquants
Une fois connectés, les pirates passent inaperçus, car leur trafic ressemble à un accès distant normal. ReliaQuest observe ensuite les étapes classiques d’une attaque par rançongiciel : vol d’identifiants, cartographie de l’Active Directory avec BloodHound, déplacement latéral avec Cobalt Strike, puis préparation du chiffrement.
Que faire
- Appliquer le correctif sur toutes les passerelles et tous les portails, y compris Prisma Access en mode hybride.
- Désactiver les cookies de contournement d’authentification s’ils ne servent pas, ou utiliser un certificat dédié et unique.
- Mettre fin à toutes les sessions VPN actives après la mise à jour pour forcer une nouvelle authentification.
- Chercher des traces d’intrusion antérieure : connexions VPN inattendues, activité anormale juste après. Un correctif ne chasse pas un attaquant déjà entré.