Atakujący aktywnie wykorzystują lukę w Palo Alto Networks PAN-OS GlobalProtect VPN, która może umożliwiać obejście uwierzytelniania i nieautoryzowany dostęp do VPN bez ważnych poświadczeń użytkownika.
Luka, śledzona jako CVE-2026-0257, dotyczy konfiguracji portalu i bramy GlobalProtect w PAN-OS. Palo Alto Networks ujawniło problem i załatało go w maju, ale później zaktualizowało swój komunikat, potwierdzając ograniczone próby wykorzystania luki przeciwko niezałatanym urządzeniom bez środków zaradczych.
Luka została również dodana do katalogu Known Exploited Vulnerabilities agencji CISA, co oznacza, że dotknięte organizacje powinny traktować jej usunięcie jako pilne.
Dlaczego ta luka ma znaczenie
GlobalProtect jest powszechnie używany do zapewniania zdalnego dostępu do sieci korporacyjnych. Czyni to z niego cenny cel.
Luka pozwalająca atakującym obejść uwierzytelnianie na urządzeniu VPN wystawionym na brzegu sieci jest szczególnie poważna, ponieważ dostęp do VPN może stać się pierwszym krokiem do szerszej kompromitacji.
Gdy atakujący uzyska dostęp do VPN, może być w stanie:
- uzyskać dostęp do systemów wewnętrznych
- podszywać się pod legalnych użytkowników
- przeprowadzać rozpoznanie
- testować usługi wewnętrzne
- próbować ruchu bocznego
- atakować Active Directory
- uzyskać dostęp do wrażliwych aplikacji
- przygotowywać dalsze ataki
- szykować operacje ransomware lub kradzieży danych
Nawet jeśli luka jest technicznie oceniona przez CVSS poniżej poziomu „krytycznego”, jej wpływ operacyjny może być znacznie większy. Nieautoryzowany dostęp do VPN w sieci korporacyjnej należy traktować jako poważne zdarzenie bezpieczeństwa.
Zaobserwowano aktywne wykorzystywanie
Rapid7 zgłosiło udane wykorzystanie luki w wielu środowiskach klientów już od 17 maja.
W wielu zaobserwowanych przypadkach atakujący używali sfałszowanych ciasteczek uwierzytelniających, aby podszywać się pod legalnych użytkowników i uwierzytelniać się w bramach GlobalProtect.
Drugą falę aktywności zaobserwowano 21 maja, a dowody wskazują, że niektórym atakującym przydzielono adresy VPN i uzyskali oni dostęp do sieci wewnętrznej.
Rapid7 poinformowało, że w momencie publikacji raportu nie zaobserwowało udanego ruchu bocznego z dotkniętych urządzeń, ale sam fakt, że atakujący byli w stanie uzyskać sesje VPN, wystarcza, by wymagać natychmiastowej reakcji.
Jak działa ta luka
Problem dotyczy funkcji GlobalProtect o nazwie authentication override.
Funkcja ta pozwala portalowi lub bramie GlobalProtect wydać ciasteczko authentication override użytkownikowi, który już się uwierzytelnił. Użytkownik może następnie okazać to ciasteczko później, zamiast ponownie wprowadzać poświadczenia.
W praktyce ciasteczko działa podobnie do tokenu na okaziciela (bearer token). Jeśli brama je zaakceptuje, użytkownik jest traktowany jako uwierzytelniony.
Luka zależy od konkretnej konfiguracji dotyczącej certyfikatów używanych do szyfrowania i odszyfrowywania ciasteczek authentication override.
Według analizy Rapid7 w niektórych konfiguracjach GlobalProtect może ufać odszyfrowanym ciasteczkom bez należytego sprawdzenia ich autentyczności.
Jeśli administratorzy użyli tego samego certyfikatu zarówno dla usługi HTTPS, jak i do szyfrowania ciasteczek authentication override, atakujący mogli pozyskać klucz publiczny certyfikatu i generować sfałszowane ciasteczka, które podatne bramy akceptowały jako ważne.
Pozwalało to atakującym obejść standardowe uwierzytelnianie.
Dlaczego konfiguracja ma znaczenie
Luka nie dotyczy każdego wdrożenia GlobalProtect w taki sam sposób.
Wymaga ona:
- skonfigurowanego portalu lub bramy GlobalProtect
- włączonych ciasteczek authentication override
- konkretnej konfiguracji certyfikatu
- podatnych wersji PAN-OS
- braku zastosowanej łatki lub środka zaradczego
Authentication override nie jest domyślnie włączone, ale wiele organizacji może z niego korzystać dla wygody użytkowników lub ciągłości sesji.
Ryzyko rośnie, gdy certyfikaty są ponownie używane w różnych funkcjach zamiast być przeznaczone do jednego celu.
To kluczowa lekcja z tego incydentu: ponowne użycie certyfikatu może zamienić słabość konfiguracji w możliwe do wykorzystania obejście uwierzytelniania.
Średni wynik, krytyczne ryzyko biznesowe
CVE-2026-0257 początkowo otrzymała wynik CVSS 7.8, co plasuje ją poniżej progu „krytycznego”.
Jednak kilku badaczy wezwało organizacje do traktowania jej w praktyce jako krytycznej.
Powód jest prosty: CVSS mierzy cechy techniczne, ale nie zawsze odzwierciedla skutki biznesowe uzyskania dostępu VPN do sieci wewnętrznej.
Nieuwierzytelniony atakujący uzyskujący dostęp do VPN za pomocą sfałszowanego ciasteczka może wywołać poważny incydent bezpieczeństwa, zwłaszcza jeśli środowisko VPN ma szeroki dostęp do zasobów wewnętrznych lub słabą segmentację.
Dla obrońców pytanie operacyjne brzmi nie tylko „Jaki jest wynik?”, ale „Co może zrobić atakujący po wykorzystaniu luki?”.
W tym przypadku odpowiedź może brzmieć: wejść do sieci.
Dlaczego brzegowe urządzenia VPN są głównymi celami
Urządzenia VPN znajdują się na granicy między internetem a siecią wewnętrzną. To czyni je atrakcyjnymi dla atakujących.
Cyberprzestępcy często atakują urządzenia brzegowe, ponieważ zapewniają one zwykle:
- zdalny dostęp
- zaufane położenie w sieci
- ścieżki uwierzytelniania
- ekspozycję uprzywilejowanej infrastruktury
- ograniczoną widoczność urządzeń końcowych
- cenny dostęp do systemów wewnętrznych
Luki w bramach VPN, zaporach sieciowych i urządzeniach zdalnego dostępu są powszechnie wykorzystywane przez operatorów ransomware, grupy powiązane z państwami i brokerów początkowego dostępu.
Technologie Palo Alto Networks były już wcześniej celem ataków. Wcześniejsze luki w PAN-OS, w tym problemy z obejściem uwierzytelniania, również przyciągały uwagę atakujących i CISA.
Wniosek jest jasny: produkty zabezpieczające brzeg sieci trzeba łatać szybko, ponieważ atakujący aktywnie śledzą publikowane ostrzeżenia i przekształcają w broń wystawione systemy.
Co organizacje powinny zrobić teraz
Organizacje korzystające z dotkniętych wdrożeń PAN-OS GlobalProtect powinny nadać priorytet naprawie.
Zalecane działania obejmują:
- natychmiastowe zastosowanie łatki dostarczonej przez Palo Alto Networks
- sprawdzenie, czy wszystkie dotknięte portale i bramy GlobalProtect zostały zaktualizowane
- przegląd, czy authentication override jest włączone
- wyłączenie authentication override, jeśli nie jest wymagane
- jeśli authentication override jest wymagane, użycie dedykowanego certyfikatu do szyfrowania ciasteczek
- niewykorzystywanie certyfikatu HTTPS portalu lub bramy do ciasteczek authentication override
- wygenerowanie nowego certyfikatu wyłącznie dla authentication override
- bezpieczne przechowywanie certyfikatu
- upewnienie się, że certyfikat nie jest współdzielony z innymi funkcjami ani użytkownikami
- przegląd logów GlobalProtect pod kątem podejrzanych zdarzeń uwierzytelniania
- zbadanie nieoczekiwanych przydziałów adresów IP VPN
- sprawdzenie nietypowych sesji VPN w okolicach 17 i 21 maja
- przegląd dostępu wewnętrznego z adresów przydzielonych przez VPN
- monitorowanie oznak ruchu bocznego
Jeśli istnieje podejrzenie wykorzystania luki, sesję VPN należy traktować jako nieautoryzowany dostęp wewnętrzny i rozpocząć reagowanie na incydent.
Opcje łagodzenia skutków
Jeśli nie można natychmiast zainstalować łatki, Palo Alto Networks zaleca środki zaradcze na poziomie konfiguracji.
Najskuteczniejszym tymczasowym środkiem jest całkowite wyłączenie authentication override poprzez odznaczenie wszystkich opcji związanych z generowaniem i akceptowaniem ciasteczek authentication override w konfiguracji portalu i bramy GlobalProtect.
Jeśli authentication override musi pozostać włączone, administratorzy powinni użyć dedykowanego certyfikatu wyłącznie do szyfrowania i odszyfrowywania ciasteczek authentication override.
Tego certyfikatu nie należy ponownie używać dla:
- usługi HTTPS portalu GlobalProtect
- usługi HTTPS bramy GlobalProtect
- innych funkcji PAN-OS
- usług dostępnych dla użytkowników
- niepowiązanych systemów wewnętrznych
Rozdzielenie certyfikatów jest niezbędne, aby zmniejszyć ryzyko nadużyć ze strony sfałszowanych ciasteczek.
Co monitorować
Zespoły ds. bezpieczeństwa powinny przeglądać telemetrię VPN i zapór pod kątem oznak podejrzanej aktywności.
Ważne wskaźniki obejmują:
- nieoczekiwane logowania do GlobalProtect
- zdarzenia uwierzytelniania bez oczekiwanego przepływu poświadczeń
- nowe sesje VPN z nietypowych źródłowych adresów IP
- sesje VPN przypisane do użytkowników, którzy zaprzeczają swojej aktywności
- powtarzające się próby połączeń z bramami GlobalProtect
- nietypowe przydziały adresów VPN
- wewnętrzne skanowanie z zakresów adresów IP VPN
- dostęp do wrażliwych systemów po zalogowaniu do VPN
- nietypowy ruch z kont o niskich uprawnieniach
- wzorce użycia ciasteczek authentication override
- zmiany w konfiguracji dotyczące certyfikatów lub ustawień GlobalProtect
Organizacje powinny korelować logi VPN z logami tożsamości, telemetrią z urządzeń końcowych i aktywnością sieciową.
Uwagi dotyczące reagowania na incydenty
Jeśli organizacja uważa, że CVE-2026-0257 mogła zostać wykorzystana, samo załatanie nie wystarczy.
Kroki reagowania powinny obejmować:
- zidentyfikowanie dotkniętych sesji VPN
- ustalenie, do których systemów wewnętrznych uzyskano dostęp
- przegląd logów pod kątem rozpoznania lub ruchu bocznego
- zresetowanie lub unieważnienie sesji, które mogły zostać nadużyte
- przegląd konfiguracji GlobalProtect
- zrotowanie odpowiednich certyfikatów, jeśli podejrzewa się ujawnienie lub ponowne użycie certyfikatu
- sprawdzenie, czy nie pojawiły się nowe konta lub zmiany uprawnień
- zbadanie nietypowej aktywności uwierzytelniania
- przegląd alertów z urządzeń końcowych w systemach, do których uzyskano dostęp przez VPN
- poszukiwanie mechanizmów trwałości wewnątrz sieci
Nawet jeśli nie widać od razu żadnego ruchu bocznego, nieautoryzowany dostęp do VPN należy traktować jako poważne zdarzenie.
Podsumowanie
CVE-2026-0257 to przypomnienie, że urządzenia VPN i urządzenia zabezpieczające brzeg sieci nadal należą do najważniejszych systemów, które trzeba łatać i monitorować.
Choć luka ma wymagania zależne od konfiguracji i otrzymała wynik CVSS poniżej poziomu krytycznego, aktywne wykorzystywanie zmienia profil ryzyka. Obejście uwierzytelniania na korporacyjnej bramie VPN może dać atakującym bezpośredni dostęp do sieci wewnętrznych.
Organizacje korzystające z dotkniętych wdrożeń Palo Alto Networks PAN-OS GlobalProtect powinny pilnie je załatać, wyłączyć lub utwardzić authentication override, przejrzeć użycie certyfikatów i zbadać podejrzaną aktywność VPN.
We współczesnych atakach brzeg sieci jest często pierwszym polem bitwy. Sesja VPN, która nigdy nie powinna była istnieć, może być początkiem znacznie większego włamania.
