CVE-2026-0257: bypass di autenticazione su PAN-OS, gruppi ransomware in attività

Il 12 ottobre 2026 la minaccia intorno a CVE-2026-0257 si riaffaccia con nuova concretezza. Gruppi ransomware, tra cui Qilin e Settra, stanno sfruttando attivamente un'authentication bypass nei componenti GlobalProtect portal e gateway di Palo Alto Networks PAN-OS per stabilire sessioni VPN non autorizzate e penetrare reti aziendali. La vulnerabilità, che non richiede credenziali valide, trasforma il dispositivo perimetrale da asset protettivo in ingresso mascherato.

Il meccanismo del bypass: autenticazione aggirata, non violata

La falla risiede nel meccanismo di "Authentication Override" di GlobalProtect. Quando questa configurazione è attiva insieme a un certificato vulnerabile, un attaccante può stabilire una connessione VPN senza presentare credenziali valide. Non si tratta di furto di password né di cracking: l'autenticazione viene semplicemente aggirata.

Il risultato è una sessione VPN con lo stesso livello di accesso di un utente legittimo. Il traffico attraversa l'infrastruttura VPN dell'organizzazione, generando log di "successful gateway-connected events" che mimano il remote work ordinario. Questo è il cuore del problema per i Security Operation Center: l'evento di sicurezza che dovrebbe segnalare un accesso autorizzato diventa invece un punto cieco.

Le versioni PAN-OS affette includono 12.1, 11.2, 11.1 e 10.2 precedenti alle patch specifiche. Panorama e Cloud NGFW sono esplicitamente esclusi dall'impatto. La condizione di esposizione richiede la combinazione vulnerabile di Authentication Override più certificato, circostanza che riduce la superficie ma non attenua la gravità dove presente.

Dalla VPN compromessa al ransomware: la catena di post-exploitation

Una volta all'interno, gli operatori ransomware documentati mostrano tradecraft differenziato. Secondo le investigazioni di Arctic Wolf Labs su intrusioni del giugno 2026, le attività post-exploitation includono tool di reconnaissance come BloodHound e SharpHound per mappare l'Active Directory, persistenza tramite registry Run keys, accesso remoto ridondante con AnyDesk, Ngrok, LogMeIn e MeshAgent, e movimento laterale via PsExec.

La raccolta di credenziali avviene tramite dump di LSASS ed estrazione di NTDS, seguita da esfiltrazione con Rclone verso servizi cloud come MEGA. Il deploy finale è il ransomware Qilin. ReliaQuest ha osservato nel proprio contesto anche l'uso di Cobalt Strike, indicando che la variabilità tattica dipende dall'affiliato o dall'access broker coinvolto.

Un indicatore ricorrente nelle sessioni sospette è l'hostname "kali", segnalato sia da ReliaQuest che da Arctic Wolf Labs. Unit 42 ha inoltre rilevato specifici host ID, MAC address e client configuration values associati a tentativi di exploit. Questi elementi rappresentano lead investigativi, non proof definitiva di compromissione.

Perché la detection fallisce: il paradosso del "successful login"

L'angolo tecnico-chiave della storia è il rilevamento. La sessione VPN non autorizzata genera esattamente gli stessi eventi di successo di una sessione legittima. L'attaccante non lascia tracce di brute force, non attiva allarmi su credential stuffing, non produce anomalie di autenticazione. Il firewall segnala "gateway-connected" e il SOC, se si affida a regole basate su autenticazione fallita, non vede nulla.

Questo scenario richiede una ricalibrazione del detection: spostare l'attenzione dal successo dell'autenticazione alla legittimità del dispositivo e del contesto. Geolocalizzazione anomala, orari insoliti, assenza di storia nel profilo endpoint, combinazione di hostname sospetti come "kali" con attività di directory enumeration: questi sono i nuovi parametri su cui i team di sicurezza devono concentrarsi quando GlobalProtect è esposto.

La fonte non specifica se gli indicatori pubblicati siano completi né quante organizzazioni siano state effettivamente compromesse nel corso del 2026. Rimane inoltre non documentata l'entità specifica dell'attività ransomware nel mese di ottobre rispetto alle campagne già osservate in giugno-luglio.

Cosa fare adesso

Le azioni operative derivano direttamente dalle fonti analizzate:

• Patch immediata su tutte le istanze PAN-OS GlobalProtect affette, con priorità per i sistemi con Authentication Override abilitato.
• Terminazione esplicita di tutte le sessioni GlobalProtect attive dopo l'applicazione della patch, come raccomandato da ReliaQuest: la correzione del codice non interrompe sessioni pre-esistenti.
• Investigazione forense sui log "gateway-connected" degli ultimi mesi, con focus su hostname anomali, pattern di host ID/MAC e attività successive di reconnaissance o movimento laterale.
• Rivalutazione dell'esposizione di GlobalProtect su internet: dove non strettamente necessario, la riduzione della superficie di attacco rimane il controllo più efficace.

"ReliaQuest assesses that the likelihood of exploitation will remain high over the next three months as ransomware groups and initial access brokers target unpatched systems" — ReliaQuest (via GBHackers)

Il contesto più ampio: i dispositivi VPN edge come bersaglio privilegiato

La storia di CVE-2026-0257 si inserisce in un pattern consolidato. I dispositivi VPN edge — firewall, gateway SSL, appliance di accesso remoto — sono da anni tra i target prioritari di ransomware groups e initial access brokers. L'exploitation persiste mesi dopo la disponibilità delle patch perché questi sistemi, spesso gestiti con cicli di manutenzione più lunghi, rimangono esposti.

La differenza con altre vulnerabilità perimetrali sta nel meccanismo di occultamento. Un RCE su un servizio web esposto produce tipicamente anomalie rilevabili. Un authentication bypass su VPN produce invece traffico che sembra legittimo per design. Questo è il falso senso di sicurezza che il titolo evoca: il "successful VPN login" non garantisce più legittimità quando il VPN stesso è la vulnerabilità.

Arctic Wolf Labs ha documentato che la variabilità nel tradecraft post-exploitation, "from encryption-only operations to full double-extortion", conferma che il punto critico per i difensori rimane il compromesso perimetrale. Tutto ciò che segue — reconnaissance, persistenza, exfiltrazione, cifratura — è conseguenza di una falla che avrebbe potuto essere chiusa cinque mesi fa.

Per il settore, il messaggio è che la disponibilità di patch non equivale a remediation. Serve un processo che includa terminazione sessioni, verifica log e hunting attivo. Altrimenti il gap tra patch e sfruttamento attivo — qui misurato da maggio a ottobre 2026 e oltre — continuerà a favorire gli attori della minaccia.

Domande frequenti

La mia organizzazione è vulnerabile se usa GlobalProtect senza Authentication Override?

No. Secondo il vendor advisory, la vulnerabilità richiede configurazione specifica con Authentication Override abilitato e certificato vulnerabile. Panorama e Cloud NGFW sono esclusi.

Perché CISA ha inserito CVE-2026-0257 nel catalogo KEV?

CISA ha aggiunto la vulnerabilità al Known Exploited Vulnerabilities catalog il 29 maggio 2026, confermando exploit in-the-wild basato su evidenze di Unit 42 e altre fonti di threat intelligence.

I log di "successful gateway-connected" sono sempre sospetti ora?

No. La maggior parte delle sessioni legittime genera lo stesso evento. La chiave è correlare con indicatori anomali: hostname come "kali", geolocalizzazione insolita, attività post-autenticazione di reconnaissance o movimento laterale.

Fonti

• https://gbhackers.com/ransomware-hackers-exploit-palo-alto-networks-globalprotect/amp/
• https://gbhackers.com/ransomware-hackers-exploit-palo-alto-networks-globalprotect/
• https://cyberupdates365.com/palo-alto-globalprotect-flaw-vpn-access/
• https://cybersecuritynews.com/cve-2026-0257-qilin-ransomware/
• https://securityaffairs.com/195730/cyber-crime/qilin-ransomware-affiliates-abuse-cve-2026-0257-to-gain-unauthorized-vpn-access.html
• https://security.paloaltonetworks.com/CVE-2026-0257
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://unit42.paloaltonetworks.com/active-exploitation-of-pan-os-cve-2026-0257/
• https://gbhackers.com/what-does-apexguard-vpn-actually-do-the-basics-explained/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti