Da bypass VPN a dominio cifrato: come CVE-2026-0257 alimenta il ransomware Qilin

Arctic Wolf Labs ha ricostruito multiple intrusioni del giugno 2026 che partono tutte da una stessa falla: CVE-2026-0257, authentication bypass con CVSS 9.1 nel portale e gateway GlobalProtect di Palo Alto Networks. Gli attaccanti ottenevano sessioni VPN interattive senza credenziali, espandendosi poi con movimento laterale e credential harvesting fino al deploy di payload Qilin. La constatazione cruciale non è la singola violazione, ma la maturazione osservata: il primo exploitation risale al 17 maggio 2026, secondo Rapid7, mentre la fase ransomware massiccia si è concentrata in giugno, con un gap di circa sei settimane che ha permesso agli operatori di affinare la catena di attacco.

La falla: come funziona il bypass di GlobalProtect

CVE-2026-0257 colpisce il portale e il gateway GlobalProtect, i componenti di PAN-OS che gestiscono l'accesso VPN remoto. La vulnerabilità consente a un attaccante remoto di eludere completamente l'autenticazione perimetrale, ottenendo una sessione VPN legittima senza credenziali valide. Questo non è un escalation locale o una debolezza di configurazione: è un salto di livello che trasforma il perimetro da barriera a punto di ingresso invisibile.

La gravità è quantificata in CVSS 9.1/10 (critical), con vettore di attacco rete, complessità bassa, privilegi non richiesti e nessuna interazione utente necessaria. Le versioni affette precedenti alle patch specifiche includono PAN-OS 12.1, 11.2, 11.1 e 10.2, secondo il reporting Arctic Wolf. CISA ha aggiunto la vulnerabilità al Known Exploited Vulnerabilities Catalog il 29 maggio 2026, confermando lo status di exploited in-the-wild a livello federale.

Dal maggio al giugno: la timeline rivela maturazione, non casualità

La sequenza temporale è il dato più rilevante per la valutazione del rischio. Rapid7 ha identificato exploitation successful già dal 17 maggio 2026 tramite il proprio servizio MDR, ma ha esplicitamente dichiarato di non aver osservato movimento laterale in quella fase. Unit 42, nel proprio report del 9 giugno 2026, ha confermato exploitation attiva senza identificare comportamenti post-access o lateral movement. La mancanza di movimento laterale osservato dalle due fonti non significa assenza: significa che l'attività iniziale era circoscritta al punto di ingresso, o che le tecniche di post-exploitation evadevano i sensori allora disponibili.

Arctic Wolf Labs ha invece investigato intrusioni complete nel mese di giugno, con deploy ransomware Qilin. Il salto da exploitation "silenziosa" a campaign ransomware massiccia indica che gli operatori hanno utilizzato il periodo maggio-giugno per perfezionare la catena: credential harvesting, persistenza, movimento laterale, disabilitazione difese, e solo infine cifratura. Il modello RaaS (Ransomware-as-a-Service) di Qilin, che distribuisce l'exploit working a multiple affiliate con tecniche post-compromissione proprie, spiega le variazioni tattiche osservate nel mese di giugno.

I TTPs come fingerprint: infrastruttura condivisa tra affiliate

Arctic Wolf ha documentato un pattern TTPs insolitamente specifico, che funge da fingerprint di infrastruttura o toolkit condiviso. Il payload ransomware era consistentemente denominato win.exe e posizionato in C:\PerfLogs\, directory di monitoraggio prestazioni di Windows raramente sottoposta a scrutiny attivo. La persistenza era creata tramite registry Run keys con pattern *[a-z]{6}: asterisco seguito da sei lettere minuscole casuali.

Gli strumenti RAT deployati includevano AnyDesk, Ngrok, LogMeIn e MeshAgent. Il credential dumping da LSASS avveniva tramite rundll32.exe con caricamento di comsvcs.dll, con output mascherato da file .odt (OpenDocument Text) per eludere filtri basati su estensione. L'estrazione del database Active Directory utilizzava ntdsutil.exe con metodo Install From Media. Il movimento laterale sfruttava PsExec e le share amministrative C$. Alcuni attacchi includevano exfiltration dati verso cloud storage MEGA tramite Rclone.

Il hostname kali e indirizzi IP sovrapposti tra fasi di exploitation e sessioni VPN successive indicano che gli stessi operatori, o uno stesso toolkit di accesso, ruotavano tra infrastrutture. Questo non è un dettaglio aneddotico: è l'indicatore che l'exploit è stato integrato in un arsenale riutilizzabile, non in un'operazione one-off.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dai fatti documentati:

• Patch immediato: applicare gli aggiornamenti PAN-OS correttivi per CVE-2026-0257 sulle versioni 12.1, 11.2, 11.1 e 10.2, verificando la disponibilità delle build specifiche nel advisories vendor.
• Terminazione sessioni attive: invalidare tutte le sessioni VPN GlobalProtect esistenti e forzare riautenticazione, poiché il bypass consente sessioni non autorizzate precedentemente stabilite.
• Hunting su C:\PerfLogs\win.exe: verificare la presenza di questo file specifico e del pattern registry Run keys *[a-z]{6} come indicatore di compromissione.
• Correlazione log maggio-giugno 2026: ricercare accessi VPN da hostname kali o indirizzi IP sospetti nel periodo 17 maggio - 30 giugno 2026, antecedente al deploy ransomware.

Le fonti non quantificano il numero esatto di vittime né la geografia delle intrusioni giugno 2026. Non emerge inoltre se Qilin abbia pubblicato dati exfiltrati su leak site per doppia estorsione, né se esista un PoC pubblico per CVE-2026-0257 al di là del generico riferimento Unit 42 a "post-PoC release monitoring".

"Arctic Wolf assesses with moderate confidence that exploitation of this vulnerability leading to Qilin ransomware deployment is ongoing, driven by widespread scanning activity and the RaaS model's tendency to distribute working exploits across multiple affiliates." — Arctic Wolf Labs

Il modello Qilin e la proliferazione dell'exploit

La constatazione di Arctic Wolf che le "variazioni nelle tattiche osservate durante gli incidenti di giugno possono riflettere differenti affiliate Qilin che sfruttano un metodo di exploit condiviso impiegando tecniche proprie post-compromissione" è la chiave di lettura. Qilin, attivo dal 2022 e noto anche come Agenda, non è un gruppo monolitico ma un'etichetta RaaS sotto cui operano actor distinti. Il bypass VPN diventa leveler: abbassa la soglia di competenza necessaria per l'accesso iniziale, spostando il valore aggiunto sulle fasi successive di movimento laterale e cifratura.

Il rischio non è circoscritto alle organizzazioni già violate. È sistemico: ogni istanza GlobalProtect esposta a internet con PAN-OS vulnerabile rappresenta un punto di ingresso potenziale per qualsiasi affiliate Qilin con accesso all'exploit. La distribuzione RaaS implica che la proliferazione avverrà più rapidamente della capacità di patching media delle organizzazioni bersaglio.

Domande frequenti

Perché il gap di sei settimane tra exploitation e ransomware è significativo?

Il periodo maggio-giugno ha permesso agli operatori di testare e stabilizzare la catena completa: dal bypass VPN al credential harvesting, dal movimento laterale alla persistenza. Rapid7 e Unit 42 hanno osservato solo la fase iniziale, indicando che la post-exploitation evadeva i sensori standard o avveniva su target non coperti da quei vendor.

Qual è la relazione tra CVE-2026-0257 e CVE-2026-0300?

Non è documentata. Sono CVE distinte con vettori diversi. CVE-2026-0300, buffer overflow RCE, non è utilizzabile per supportare claim su CVE-2026-0257 e non è citato dalle fonti Arctic Wolf o dalle conferme exploitation Qilin.

Palo Alto Networks ha confermato il collegamento Qilin?

No. La conferma del collegamento tra CVE-2026-0257 e deploy Qilin proviene esclusivamente da Arctic Wolf Labs. Unit 42 ha confermato exploitation attiva della stessa CVE senza identificare post-access behavior o ransomware specifico.

Fonti

• https://cybersecuritynews.com/cve-2026-0257-qilin-ransomware/amp/
• https://gbhackers.com/palo-alto-pan-os-flaw-to-deploy-qilin-ransomware/
• https://unit42.paloaltonetworks.com/active-exploitation-of-pan-os-cve-2026-0257/
• https://thehackernews.com/2026/05/palo-alto-pan-os-flaw-under-active.html
• https://www.cyfirma.com/news/weekly-intelligence-report-15-may-2026/
• https://www.techradar.com/pro/security/rapid7-observes-new-palo-alto-vpn-flaw-exploited-in-the-wild-to-bypass-globalprotect-authentication
• https://security.paloaltonetworks.com/CVE-2026-0300
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog