Atakujący aktywnie wykorzystują lukę w zabezpieczeniach VPN GlobalProtect w Palo Alto Networks PAN-OS, która może pozwolić im obejść uwierzytelnianie i uzyskać dostęp do VPN bez ważnych poświadczeń.
Luka, oznaczona jako CVE-2026-0257, została ujawniona i załatana przez Palo Alto Networks w maju. Firma zaktualizowała później swój komunikat, potwierdzając ograniczone próby wykorzystania luki w niezałatanych urządzeniach PAN-OS, w których nie zastosowano środków zaradczych.
Luka została również dodana do katalogu Known Exploited Vulnerabilities agencji CISA, co zwiększa pilność szybkiego załatania dotkniętych systemów przez organizacje.
Chociaż luka otrzymała początkowo wynik CVSS 7,8, badacze apelują, aby organizacje traktowały ją jako krytyczne ryzyko operacyjne. Powód jest prosty: obejście uwierzytelniania na wystawionym do internetu urządzeniu VPN może zapewnić atakującym bezpośredni dostęp do sieci wewnętrznych.
Dlaczego ta luka ma znaczenie
GlobalProtect jest szeroko stosowany przez organizacje do zapewniania zdalnego dostępu do systemów wewnętrznych. Czyni to z niego cenny cel dla cyberprzestępców.
Bramy VPN znajdują się na brzegu sieci. Jeśli atakujący mogą obejść uwierzytelnianie, mogą zyskać zaufaną pozycję wewnątrz środowiska korporacyjnego.
Stamtąd mogą być w stanie:
- uzyskiwać dostęp do aplikacji wewnętrznych
- podszywać się pod uprawnionych użytkowników
- prowadzić rozpoznanie
- skanować systemy wewnętrzne
- testować dostęp do udziałów plików i serwerów
- atakować Active Directory
- podejmować próby ruchu bocznego
- uzyskiwać dostęp do wrażliwych systemów biznesowych
- przygotowywać kolejne ataki, takie jak kradzież danych lub ransomware
Nawet jeśli w niektórych zaobserwowanych przypadkach nie potwierdzono ruchu bocznego, nieautoryzowany dostęp do VPN nadal należy traktować jako poważny incydent bezpieczeństwa.
Potwierdzona aktywna eksploatacja
Rapid7 zgłosił udane wykorzystanie luki w wielu środowiskach klientów już od 17 maja.
W wielu przypadkach atakujący używali sfałszowanych ciasteczek uwierzytelniających, aby podszywać się pod uprawnionych użytkowników i uwierzytelniać się w bramach GlobalProtect.
Drugą falę aktywności zaobserwowano 21 maja, z dowodami na to, że niektórym atakującym przydzielono adresy IP VPN i uzyskali oni dostęp do sieci wewnętrznej.
Palo Alto Networks potwierdziło później ograniczone próby wykorzystania luki w niezałatanych urządzeniach PAN-OS bez środków zaradczych.
Fakt, że eksploatację już zaobserwowano, zmienia profil ryzyka. To już nie tylko teoretyczna podatność. Organizacje korzystające z dotkniętych konfiguracji powinny zareagować pilnie.
Jak działa ta luka
Problem jest związany z funkcją GlobalProtect o nazwie nadpisanie uwierzytelniania (authentication override).
Nadpisanie uwierzytelniania pozwala portalowi lub bramie GlobalProtect wystawić użytkownikowi ciasteczko po pomyślnym uwierzytelnieniu. Ciasteczko to może być następnie używane w dalszej komunikacji zamiast wymagania ponownego uwierzytelnienia poświadczeniami.
W praktyce to ciasteczko zachowuje się podobnie do tokenu okaziciela (bearer token). Jeśli brama je zaakceptuje, użytkownik jest traktowany jako uwierzytelniony.
Podatność zależy od konkretnej konfiguracji certyfikatu używanego do szyfrowania i odszyfrowywania tych ciasteczek nadpisania uwierzytelniania.
Według analizy Rapid7, w pewnych konfiguracjach system może ufać odszyfrowanym ciasteczkom bez należytej weryfikacji ich autentyczności. Jeśli administratorzy używają tego samego certyfikatu zarówno dla usługi HTTPS GlobalProtect, jak i do szyfrowania ciasteczek nadpisania uwierzytelniania, atakujący mogą być w stanie uzyskać publiczny certyfikat i wygenerować sfałszowane ciasteczka, które brama VPN zaakceptuje jako prawidłowe.
Może to skutkować obejściem uwierzytelniania.
Zależna od konfiguracji, ale nadal poważna
CVE-2026-0257 nie wpływa na każde wdrożenie GlobalProtect w taki sam sposób.
Luka wymaga spełnienia określonych warunków, w tym:
- dotknięte wersje PAN-OS
- skonfigurowany portal lub brama GlobalProtect
- włączone ciasteczka nadpisania uwierzytelniania
- podatna konfiguracja certyfikatu
- brak zastosowanej poprawki lub środka zaradczego
Nadpisanie uwierzytelniania nie jest domyślnie włączone, ale wiele organizacji może je włączać dla wygody i płynniejszego doświadczenia użytkowników.
Ryzyko staje się znaczące, gdy ponowne użycie certyfikatu osłabia granicę zaufania wokół ciasteczek uwierzytelniających.
To ważna lekcja: certyfikatów istotnych dla bezpieczeństwa nie należy używać do różnych funkcji. Certyfikat używany dla publicznej usługi HTTPS nie powinien być jednocześnie używany do ochrony tokenów uwierzytelniających.
Dlaczego wynik CVSS może wprowadzać w błąd
Luka została początkowo oceniona na 7,8, czyli poniżej tradycyjnego progu „krytycznego”.
Z technicznego punktu widzenia wynik ten może odzwierciedlać szczególne warunki wymagane do eksploatacji. Operacyjnie jednak skutki mogą być znacznie poważniejsze.
Atakujący, który uzyska nieautoryzowany dostęp do VPN, nie uzyskuje dostępu tylko do jednej aplikacji. Może wejść do sieci wewnętrznej.
Dlatego badacze argumentują, że organizacje powinny traktować tę lukę jako krytyczną w praktyce.
Średni lub wysoki wynik CVSS nie zawsze oddaje wpływ na biznes. W przypadku infrastruktury VPN wystawionej na brzegu sieci nawet wąsko zakrojone obejście uwierzytelniania może stwarzać poważne ryzyko naruszenia.
Dlaczego urządzenia VPN są stale atakowane
Urządzenia VPN są atrakcyjne dla atakujących, ponieważ chronią drzwi do sieci korporacyjnej.
Jeśli atakujący zdołają je przejąć lub obejść, mogą uzyskać dostęp bez konieczności wykorzystywania pojedynczych systemów wewnętrznych z poziomu internetu.
Cyberprzestępcy często atakują VPN i urządzenia brzegowe, ponieważ zapewniają one:
- zdalny dostęp do zaufanych sieci
- ścieżki uwierzytelniania
- wgląd w routing wewnętrzny
- dostęp do uprzywilejowanych użytkowników
- okazje do kradzieży poświadczeń
- platformę startową do ruchu bocznego
- mniejszą widoczność niż w przypadku stacji roboczych
Urządzenia Palo Alto Networks, podobnie jak inne wiodące platformy bezpieczeństwa i VPN, są częstym celem, ponieważ znajdują się bezpośrednio między atakującymi a środowiskiem przedsiębiorstwa.
Wcześniejsze luki w PAN-OS również były wykorzystywane przez cyberprzestępców, w tym problemy z obejściem uwierzytelniania, które zwróciły uwagę CISA.
Co organizacje powinny zrobić teraz
Organizacje korzystające z dotkniętych wdrożeń PAN-OS GlobalProtect powinny działać szybko.
Zalecane działania obejmują:
- niezwłoczne zastosowanie poprawki Palo Alto Networks dla CVE-2026-0257
- sprawdzenie, czy wszystkie dotknięte portale i bramy GlobalProtect zostały zaktualizowane
- sprawdzenie, czy nadpisanie uwierzytelniania jest włączone
- wyłączenie nadpisania uwierzytelniania, jeśli nie jest wymagane
- jeśli nadpisanie uwierzytelniania jest wymagane, użycie dedykowanego certyfikatu wyłącznie dla tej funkcji
- niewykorzystywanie certyfikatu HTTPS portalu lub bramy dla ciasteczek nadpisania uwierzytelniania
- wygenerowanie i bezpieczne przechowywanie nowego certyfikatu dla nadpisania uwierzytelniania
- upewnienie się, że certyfikat nadpisania uwierzytelniania nie jest współdzielony z innymi funkcjami ani użytkownikami
- przejrzenie logów VPN pod kątem podejrzanych sesji
- zbadanie nieoczekiwanych przydziałów adresów IP VPN
- przejrzenie dostępu wewnętrznego z adresów przydzielonych przez VPN
- monitorowanie oznak skanowania lub ruchu bocznego po zalogowaniu do VPN
Jeśli zostaną zidentyfikowane podejrzane sesje VPN, organizacje powinny traktować je jako potencjalny nieautoryzowany dostęp wewnętrzny.
Opcje łagodzenia skutków
Jeśli natychmiastowe załatanie nie jest możliwe, administratorzy powinni zastosować środki zaradcze w konfiguracji.
Najskuteczniejszym tymczasowym środkiem zaradczym jest całkowite wyłączenie nadpisania uwierzytelniania poprzez odznaczenie wszystkich opcji związanych z generowaniem i akceptowaniem ciasteczek nadpisania uwierzytelniania w konfiguracji portalu i bramy GlobalProtect.
Jeśli nadpisanie uwierzytelniania musi pozostać włączone, Palo Alto Networks zaleca użycie dedykowanego certyfikatu wyłącznie do szyfrowania i odszyfrowywania ciasteczek nadpisania uwierzytelniania.
Certyfikatu tego nie należy ponownie wykorzystywać dla:
- usługi HTTPS portalu GlobalProtect
- usługi HTTPS bramy GlobalProtect
- innych funkcji PAN-OS
- niepowiązanych usług wewnętrznych
- usług internetowych dostępnych dla użytkowników
- współdzielonych funkcji uwierzytelniania
Rozdzielenie certyfikatów pomaga zmniejszyć ryzyko, że atakujący wygenerują sfałszowane ciasteczka uwierzytelniające.
Co powinny monitorować zespoły bezpieczeństwa
Zespoły bezpieczeństwa powinny przeanalizować zarówno aktywność VPN, jak i zachowanie sieci wewnętrznej.
Przydatne obszary wykrywania obejmują:
- nietypowe zdarzenia uwierzytelniania GlobalProtect
- sesje VPN z nieoczekiwanych źródłowych adresów IP
- użytkowników otrzymujących adresy IP VPN o nietypowych porach
- aktywność VPN użytkowników, którzy zaprzeczają, że się logowali
- wzorce użycia ciasteczek nadpisania uwierzytelniania
- powtarzające się próby połączeń z portalami lub bramami
- skanowanie wewnętrzne z pul adresów VPN
- dostęp do wrażliwych systemów wkrótce po zalogowaniu do VPN
- nietypowy ruch z kont o niskich uprawnieniach
- nieudane lub podejrzane próby dostępu do usług wewnętrznych
- zmiany konfiguracji dotyczące certyfikatów lub ustawień GlobalProtect
Logi z GlobalProtect, dostawców tożsamości, narzędzi do wykrywania zagrożeń na urządzeniach końcowych, zapór i wewnętrznych czujników sieciowych należy korelować.
Wskazówki dotyczące reagowania na incydenty
Jeśli podejrzewasz eksploatację, samo łatanie nie wystarczy.
Organizacje powinny zbadać, co wydarzyło się po nawiązaniu sesji VPN.
Zalecane kroki reagowania na incydenty obejmują:
- zidentyfikowanie dotkniętych sesji VPN
- ustalenie, pod które tożsamości użytkowników się podszywano
- przejrzenie przydzielonych adresów IP VPN
- sprawdzenie, do jakich systemów wewnętrznych uzyskano dostęp
- przeanalizowanie logów uwierzytelniania pod kątem powiązanej aktywności
- polowanie na rozpoznanie wewnętrzne
- przejrzenie alertów z urządzeń końcowych w systemach, do których uzyskano dostęp przez VPN
- rotację odpowiednich certyfikatów, jeśli podejrzewa się ich ponowne użycie lub ujawnienie
- unieważnienie podejrzanych sesji
- przejrzenie aktywności kont uprzywilejowanych
- monitorowanie oznak utrwalenia się atakującego lub ruchu bocznego
Nawet jeśli ruch boczny nie jest od razu widoczny, nieautoryzowany dostęp do VPN należy traktować jako poważne zdarzenie, ponieważ atakujący mógł przeprowadzić rozpoznanie lub zebrać informacje do późniejszego wykorzystania.
Wnioski z CVE-2026-0257
Ta luka uwypukla kilka ważnych lekcji dotyczących bezpieczeństwa.
- Po pierwsze, urządzenia brzegowe wymagają pilnego łatania, ponieważ atakujący uważnie je obserwują.
- Po drugie, szczegóły konfiguracji mają znaczenie. Funkcja, która jest bezpieczna w jednej konfiguracji, może stać się niebezpieczna, gdy certyfikaty lub relacje zaufania są wykorzystywane niewłaściwie.
- Po trzecie, luki umożliwiające obejście uwierzytelniania w infrastrukturze VPN należy oceniać na podstawie rzeczywistego wpływu, a nie tylko wyniku CVSS.
Wreszcie organizacje powinny zakładać, że gdy atakujący uzyskają dostęp do VPN, incydent może wykraczać poza samo urządzenie. Brama VPN jest punktem wejścia. Prawdziwe szkody mogą wystąpić wewnątrz sieci.
Brzeg sieci pozostaje jednym z najważniejszych pól bitwy w cyberbezpieczeństwie. Gdy obejście uwierzytelniania VPN jest aktywnie wykorzystywane, naprawa nie powinna czekać.
