Il 20 luglio 2026 Arctic Wolf Labs ha pubblicato l'analisi di multiple intrusioni avvenute a giugno che hanno portato al deployment di Qilin ransomware, tutte originate dallo sfruttamento di CVE-2026-0257, una vulnerabilità di authentication bypass in Palo Alto Networks PAN-OS GlobalProtect. La patch era disponibile dal 13 maggio. Rapid7 aveva già osservato exploitation generica contro numerosi clienti a partire dal 17 maggio. La finestra tra correzione e primo attacco misurato: quattro giorni.
- Arctic Wolf ha investigato intrusioni distinte a giugno 2026 con exploitation di CVE-2026-0257 che hanno portato a deployment di Qilin ransomware
- Rapid7 ha rilevato exploitation contro multipli clienti già dal 17 maggio 2026, quattro giorni dopo il rilascio della patch da parte di Palo Alto Networks
- CISA ha inserito CVE-2026-0257 nel catalogo KEV il 29 maggio 2026 e il 20 luglio ha confermato lo sfruttamento in campagne ransomware
- La post-exploitation mostra tradecraft variata, da rapid encryption-only a full double-extortion, suggerendo multiple affiliate operanti sotto il modello RaaS di Qilin
Il meccanismo: da connessione VPN non autorizzata a compromissione di Active Directory
CVE-2026-0257 risiede nel portale e nel gateway GlobalProtect di PAN-OS. Secondo quanto riportato da BleepingComputer citando Palo Alto Networks, la vulnerabilità "allows the attacker to bypass security restrictions and establish an unauthorized VPN connection". Non sono necessarie credenziali valide per ottenere l'accesso iniziale.
Da questa posizione, gli operatori hanno eseguito una catena di azioni documentata da National CIO Review con dettagli tecnici specifici: dumping di LSASS, estrazione del database Active Directory (NTDS.dit), furto di credenziali, movimento laterale tramite PsExec, RDP e share amministrative. Investigators hanno inoltre rilevato la disabilitazione di Microsoft Defender, il targeting di soluzioni Veeam per i backup e lo staging del payload ransomware nella directory C:\PerfLogs\.
Il percorso è standard per un compromissione enterprise completa, ma la velocità di esecuzione e la diversificazione delle tattiche post-exploitation distinguono questa campagna.
La metrica del tempo: 4 giorni, 46 giorni e il gap di detection
La timeline misurabile offre tre punti. T zero: 13 maggio 2026, patch Palo Alto Networks. T+4: 17 maggio, exploitation osservata da Rapid7 contro clienti multipli. T+46: 20 luglio, Arctic Wolf collega pubblicamente le intrusioni giugno a Qilin. Il 29 maggio CISA aveva già inserito la vulnerabilità nel catalogo KEV, ordinando alle agenzie federali di patch entro tre giorni.
Quarantasei giorni tra exploitation generica e attribuzione a gruppo ransomware specifico. Il ritardo non è tecnico ma analitico: Arctic Wolf indica che le intrusioni mostravano "tradecraft varied across intrusions, from rapid encryption-only operations to full double-extortion, possibly suggesting multiple affiliates operating under the Qilin ransomware-as-a-service (RaaS) umbrella". La variabilità rende più complessa la correlazione tra eventi apparentemente isolati.
Il modello RaaS consente a Qilin di distribuire l'exploit a affiliate con competenze post-exploitation differenziate. Alcuni operano con cifratura rapida e uscita; altri montano infrastrutture di extorsion complete. La detection unificata richiede di ricostruire pattern non dal comportamento del malware, ma dalla catena di ingresso comune: CVE-2026-0257 su GlobalProtect.
L'esposizione misurata: oltre 167.000 istanze tracciate
Shadowserver traccia oltre 167.000 istanze GlobalProtect esposte su Internet. Shodan riporta oltre 172.000 IP con fingerprint GlobalProtect. Secondo BleepingComputer, questi numeri non indicano quante istanze siano vulnerabili, quante patched o quante siano honeypot. L'incertezza è intrinseca: una istanza esposta con versione non identificata può essere sia un target che un sistema già corretto.
La base installata di Palo Alto Networks supera i 70.000 clienti globali, con la maggior parte delle principali banche statunitensi e il 90% della Fortune 10. L'esposizione geografica e settoriale amplifica l'impatto potenziale della vulnerabilità.
Qilin, precedentemente noto come Agenda, è attivo da agosto 2022 e ha rivendicato oltre 2.000 vittime secondo il proprio dark web leak site.
"Arctic Wolf investigated multiple distinct intrusions during June 2026 that resulted in Qilin ransomware deployment, all originating from exploitation of CVE-2026-0257 against Palo Alto Networks firewall appliances" — Arctic Wolf Labs, riportato da BleepingComputer
La conferma di CISA e lo stato dell'exploitation
Il 20 luglio 2026 CISA ha aggiornato la propria entry per CVE-2026-0257 nel catalogo KEV, modificando lo stato in "Known To Be Used in Ransomware Campaigns: Known". La conferma arriva ore dopo la pubblicazione del report Arctic Wolf.
Arctic Wolf valuta con "moderate confidence" che le intrusioni siano in corso, basandosi su extensive scanning activity rilevata sulla superficie di attacco. La confidence è calibrata: non emerge conferma di exploitation in tempo reale, ma i pattern di scansione indicano attività sostenuta contro i sistemi vulnerabili.
L'assenza di un advisory strutturato ZDI o GHSL nel dossier lascia non documentati i dettagli tecnici esatti del meccanismo di bypass. NVD elenca CPE per versioni PAN-OS 10.2.x, 11.1.x, 11.2.x, ma non indica versioni specifiche con correzione applicata.
Cosa fare adesso
Per le organizzazioni che utilizzano Palo Alto Networks GlobalProtect:
- Verificare lo stato di patch dei sistemi PAN-OS esposti, con priorità sui gateway GlobalProtect accessibili da Internet
- Ricercare nella propria telemetria di rete connessioni VPN autenticate anomalie o pattern di accesso da indirizzi non riconducibili alla base utenti legittima, coerentemente con il vettore di bypass documentato
- Ispezire i log per attività di movimento laterale tramite PsExec, RDP e accesso a share amministrative, particolarmente in prossimità di sistemi GlobalProtect
- Controllare l'integrità delle soluzioni di backup Veeam e lo stato dei log di sicurezza di Microsoft Defender, entrambi target documentati nella fase di disabilitazione contromisure
Il problema del RaaS come sistema di distribuzione dell'exploit
La campagna Qilin su CVE-2026-0257 non è un'operazione centralizzata ma un'economia distribuita. L'exploit funziona come ingresso standardizzato; gli affiliate aggiungono la post-exploitation secondo competenze e preferenze. Alcuni cifrano in fretta, altri costruiscono infrastrutture di leak. La varietà è vantaggio competitivo per il gruppo: rende più difficile la firma di detection e allunga il tempo di correlazione analitica.
Il dato che emerge con chiarezza è la compressione temporale. Quattro giorni tra patch e exploitation sono insufficienti per la maggior parte delle organizzazioni con processi di change management strutturati. Quarantasei giorni tra exploitation e attribuzione ransomware indicano che il gap di intelligence rimane significativo anche per vendor sofisticati. La metrica che conta non è solo il tempo di patch, ma il tempo di comprensione del rischio.
Fonti
- https://www.bleepingcomputer.com/news/security/critical-globalprotect-vpn-bug-now-exploited-in-ransomware-attacks/
- https://nationalcioreview.com/articles-insights/extra-bytes/critical-palo-alto-vpn-vulnerability-now-linked-to-qilin-ransomware-attacks/
- https://www.news4hackers.com/urgent-critical-palo-alto-vpn-vulnerability-exploited-by-qilin-ransomware-gang
- https://thecyberwire.com/newsletters/daily-briefing/15/137
- https://www.secnews.gr/en/722805/qilin-ransomware-exploit-bug-globalprotect/
- https://nvd.nist.gov/vuln/detail/CVE-2026-0257
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-0257&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.