Falha da Palo Alto, corrigida em maio, segue abrindo portas para Qilin e INC
Palo Alto Networks PAN-OS GlobalProtect (CVE-2026-0257)
claimed on · assessed on
Não se trata de alegação de criminoso nem de vazamento com vítima nomeada. É exploração real do CVE-2026-0257 (bypass de autenticação no GlobalProtect/PAN-OS, corrigido em 13/05/2026), documentada pela Unit 42 e por pesquisadores independentes. O vínculo com Qilin é bem corroborado. O vínculo com INC e o pivô para vCenter/VMDK vêm, nas fontes que li, de uma única atualização da Unit 42, que descreve um caso, e não de uma tendência medida.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
Afiliados do Qilin exploraram o CVE-2026-0257 como acesso inicial em intrusões reais que terminaram em criptografia de domínio. A Arctic Wolf investigou casos distintos em junho de 2026 e publicou em 20/07. A ReliaQuest (outubro) e a Unit 42 (19/10) chegaram à mesma atribuição de forma independente. Seria desmentido se a Arctic Wolf retirasse a associação ou se os logs mostrassem outro vetor de entrada.
A atribuição do INC (Tarnished Scorpius) ao mesmo CVE é plausível, mas fina. Nas fontes que li, ela repousa na declaração da Unit 42, que usa a expressão 'attempted exploitation' no sumário. Não encontrei IOCs, número de intrusões nem relato de incidente com o INC que confirme a cadeia completa até a criptografia. Seria reforçada por um segundo IR ou pela vítima confirmando o vetor. Seria enfraquecida se a Unit 42 detalhasse que o INC apenas tentou o acesso.
O pivô para a camada de virtualização (vCenter, desativação do execInstalledOnly no ESXi, extração offline de credenciais do VMDK de um controlador de domínio) está documentado em um caso. A cobertura (inclusive nossa fonte original, o HackRead) o apresenta como a evolução de TTP da campanha, e a própria Unit 42 o chama assim. Com um único caso publicado, não dá para dizer quanto dele é padrão. As fontes que li também não dizem se o caso foi do Qilin ou do INC.
O que há de novo em outubro não é o Qilin explorando a falha, informação pública desde 20/07. A novidade é a Unit 42 nomear o INC, e a descrição do pivô para virtualização e da exposição indevida de interfaces de gerenciamento. A manchete 'agora exploram' do HackRead e de outros veículos requenta um fato com três meses.
A escala real é desconhecida. A lista de setores (educação, finanças, saúde, governo, energia etc.) mostra a amplitude do que a Unit 42 viu, não o número de vítimas. Palo Alto, Unit 42 e os demais não publicaram contagem de organizações comprometidas, e a Palo Alto não respondeu ao The Register sobre isso. Nenhuma vítima nomeada, nenhum volume de dados, nenhuma alegação em site de vazamento foi ligada publicamente a este CVE nas fontes que li.
A exploração deve continuar enquanto houver GlobalProtect sem correção ou sem mitigação (cookies de autenticação desativados, certificado dedicado). A ReliaQuest avalia como 'highly likely' que ela continue nos próximos três meses. Seria desmentida por queda sustentada nas tentativas observadas em telemetria de borda; não encontrei dados públicos de dispositivos expostos.
Analysis
O registro estava mal enquadrado. 'Qilin and INC Exploit Palo Alto VPN Flaw' é manchete de notícia, não o nome de uma vítima, e o selo 'claimed / unverified' pressupõe uma alegação de criminoso. Não existe alegação de ator aqui. Quem afirma é a Unit 42 (braço de resposta a incidentes do fabricante do produto) e, de forma independente, Arctic Wolf, Rapid7 e ReliaQuest. Corrigimos o selo para 'confirmed / real' quanto ao fato da exploração. Isso não vale para a escala nem para cada detalhe da atribuição, tratados abaixo.
O que é fato bem sustentado: o CVE-2026-0257 permite que um atacante remoto não autenticado estabeleça uma sessão VPN no GlobalProtect (portal ou gateway) quando os cookies de autenticação (authentication override) estão habilitados e há uma configuração específica de certificado. A Palo Alto corrigiu em 13/05. A Rapid7 viu exploração bem-sucedida desde 17/05. A severidade foi elevada: a Rapid7 fala em CVSS v4 4,7 (médio) na origem, e a imprensa posterior cita 7,8. Não consegui abrir o advisory original para conferir quando e como o score mudou; a data de 29/05 aparece só em fonte terciária.
Os veículos divergem na data de inclusão no KEV da CISA. O HackRead e a página da Unit 42 dizem 13/05. A Rapid7 e o BleepingComputer dizem 29/05, e o Security Affairs fala em 'início de junho'. Como duas fontes independentes apontam 29/05, o contexto do advisory é consistente com essa data e a Unit 42 usa a data de 29/05 em outro ponto do brief, trato 13/05 como provável erro de cópia. Moderada confiança; só o catálogo da CISA resolve, e não o consultei.
Sobre o Qilin, a evidência converge. A Arctic Wolf descreveu em 20/07 intrusões de junho que começaram pela exploração do CVE-2026-0257 e terminaram em criptografia de domínio. Os casos variaram de criptografia rápida a dupla extorsão, o que sugere mais de um afiliado do RaaS (inferência da Arctic Wolf, não dado do grupo). A ReliaQuest e a Unit 42 citam o Qilin depois. Isso é corroboração real, não repetição de uma só fonte.
Sobre o INC, a base é mais estreita. O único nome público que li é o da Unit 42, que no sumário fala em 'attempted exploitation' e não publica contagem de casos nem indicadores. A ReliaQuest cita Qilin e Settra, não INC. Também não achei vítima do INC publicamente ligada a este CVE. Registro o INC como atribuição de fonte primária, mas sem corroboração independente por ora. A distância entre a manchete ('Qilin and INC exploit') e o que o material publicado sustenta é maior para o INC do que para o Qilin.
O pivô para a virtualização é o ponto técnico mais relevante e o mais inflado na cobertura. A Unit 42 descreve um caso em que o atacante saiu do gateway VPN comprometido para o vCenter, desativou o execInstalledOnly nos hosts ESXi e usou uma ferramenta própria para extrair credenciais offline do VMDK de um controlador de domínio. O ganho para o atacante é real: a leitura acontece fora do sistema operacional convidado e escapa do EDR instalado nele. Mas o relato é de um caso, e as fontes que li não dizem qual grupo o executou. O HackRead resume como 'attackers extracted credentials', o que generaliza.
A Unit 42 também alertou para exposição de interfaces de gerenciamento: durante resposta a incidentes, viu perfis do GlobalProtect mapeados para serviços HTTP/HTTPS na interface de gerenciamento, acessível pela internet nas portas 4443 e
3879. É erro de configuração do cliente, separado do CVE, e amplia a superfície de ataque além do bug. A Palo Alto, sendo fabricante e também a fonte da pesquisa, tem interesse em destacar a configuração como falha do cliente. Isso não invalida o achado, mas é um ângulo a ter em mente.
A ReliaQuest destaca que o acesso via VPN própria se confunde com trabalho remoto legítimo, o que explica por que a intrusão pode passar despercebida até o roubo de credenciais ou a implantação do ransomware.
Timeline
- 13 May 2026A Palo Alto Networks publica o advisory e a correção do CVE-2026-0257, inicialmente classificado como severidade média (CVSS v4 4,7, segundo a Rapid7).
- 17 May 2026Data mais antiga de exploração bem-sucedida observada pela Rapid7 em clientes de MDR.
- 21 May 2026Segunda onda observada pela Rapid7, com alguns invasores alcançando redes internas, segundo o Help Net Security.
- 29 May 2026A Palo Alto atualiza o advisory e admite 'limited exploit attempts' em dispositivos sem correção ou mitigação. Rapid7 e BleepingComputer registram a inclusão no KEV da CISA nesta data.
- 20 Jul 2026A Arctic Wolf Labs publica que intrusões de junho, com origem no CVE-2026-0257, terminaram em criptografia de domínio pelo Qilin. É a primeira ligação pública com ransomware nas fontes que li.
- 09 Oct 2026A ReliaQuest informa exploração ativa por vários grupos, incluindo Qilin e Settra. Data inferida da contagem de dias do relato da Cybersecurity Dive e de uma publicação do pk-sharma.com; não a li no original.
- 19 Oct 2026A Unit 42 atualiza o threat brief: nomeia Qilin (Spikey Scorpius) e INC (Tarnished Scorpius) e descreve o pivô para vCenter/VMDK.
- 20 Oct 2026A Unit 42 publica a versão atualizada do brief, com orientação adicional sobre interfaces de gerenciamento expostas nas portas 4443 e 3879.
- 22 Oct 2026O HackRead publica a matéria que originou o nosso registro.
Impact
Qualquer organização com GlobalProtect (PAN-OS ou Prisma Access) com cookies de autenticação habilitados e sem a correção de 13/05 ou a mitigação está exposta a uma sessão VPN sem credencial válida, inclusive com MFA ativo. A Unit 42 relata vítimas em educação, finanças, saúde, tecnologia, hospitalidade, manufatura, serviços profissionais e jurídicos, governo, transporte e logística, energia e utilidades e varejo. A Arctic Wolf documentou casos de criptografia de domínio completa em junho. Não há número público de vítimas, nome de organização nem volume de dados. Quem aplicou a correção depois de maio pode ter sido acessado antes: corrigir fecha a porta, mas não mostra se alguém já entrou.
Technical links
Recommendations
- Aplique a versão corrigida do PAN-OS/Prisma Access indicada no advisory do CVE-2026-0257. Onde não for possível de imediato, desative o recurso de authentication override cookies ou gere um certificado novo, usado exclusivamente para esse recurso (mitigações citadas pela Rapid7 e pela imprensa a partir do advisory).
- Trate a correção e a investigação como trabalhos separados. Procure no GlobalProtect sessões VPN a partir de 17/05/2026 sem evento de autenticação correspondente, atribuições de IP de VPN após autenticação por cookie, e uso da conta de administrador local, que a Rapid7 relatou como alvo.
- De fora da rede, teste se o IP de gerenciamento do firewall responde em HTTPS nas portas 4443 e 3879 e revise perfis do GlobalProtect mapeados para serviços HTTP/HTTPS em interfaces de gerenciamento (orientação da Unit 42, 20/10).
- Audite vCenter e ESXi: logins administrativos originados do segmento de VPN, alterações em execInstalledOnly nos hosts, e leituras ou cópias de VMDK de controladores de domínio. Restrinja o acesso ao vCenter a uma rede de administração dedicada, fora do alcance direto de usuários VPN.
- Procure instalação ou uso de ferramentas de RMM não aprovadas, movimentação lateral por RDP/SMB, e artefatos como Cobalt Strike, BloodHound e SharpHound (observados pela ReliaQuest). Em caso de suspeita, redefina credenciais de contas privilegiadas e do domínio, já que credenciais podem ter sido extraídas fora do alcance do EDR.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Não há número de organizações comprometidas. Um relatório do fabricante ou da CISA com contagem resolveria.
Nenhuma vítima foi nomeada nem ligada a este CVE em site de vazamento. A confirmação de uma vítima ou um aviso regulatório resolveria.
A atribuição ao INC não tem corroboração independente. Um segundo relatório de IR, IOCs publicados ou a vítima confirmando o vetor resolveriam.
Não se sabe qual grupo executou o pivô vCenter/VMDK, nem se houve outros casos além do descrito. O texto completo da Unit 42 com atribuição por caso resolveria.
A data de inclusão no KEV está inconsistente entre fontes (13/05 versus 29/05). A consulta ao catálogo da CISA resolveria.
Não sei quantos gateways expostos continuam sem correção. Dados de varredura de internet (por exemplo, Shadowserver) resolveriam.
Não confirmei quando e por que o CVSS passou de 4,7 para 7,8. Isso só vem de fonte terciária; o advisory da Palo Alto resolveria.
A relação entre a exploração de maio (Rapid7) e as intrusões de ransomware a partir de junho é incerta: não se sabe se os mesmos acessos foram revendidos por IABs. Telemetria de IR com datas de entrada resolveria.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.