Stara luka Palo Alto znów na celowniku

Ransomware wraca do starej luki

Mimo że poprawka była dostępna od miesięcy, luka w produktach Palo Alto Networks nadal jest aktywnie wykorzystywana przez grupy ransomware. Celem pozostaje zdobycie nieautoryzowanego dostępu do VPN i wejście do sieci firmowej tak, by atak wyglądał jak zwykła praca zdalna.

Według zebranych informacji szczególnie aktywne są grupy Qilin i Settra, które wykorzystują podatność oznaczoną jako CVE-2026-0257.

Na czym polega problem

CVE-2026-0257 to bypass uwierzytelniania w rozwiązaniach PAN-OS GlobalProtect i Prisma Access. Błąd dotyczy m.in. następujących wersji:

• PAN-OS 10.2.0
• PAN-OS 11.1.0
• PAN-OS 11.2.0
• PAN-OS 12.1.0
• Prisma Access 10.2.0
• Prisma Access 11.2.0

Luka została ujawniona 13 maja 2026 r. i otrzymała ocenę 7,8/10 w skali CVSS oraz oznaczenie pilności highest. Z kolei amerykańska baza NVD przypisała jej jeszcze wyższą ocenę — 9,1/10, czyli poziom krytyczny.

Ostrzeżenia były jasne, ale część systemów nadal jest podatna

Producent udostępnił poprawione wersje i zaapelował o szybkie wdrożenie aktualizacji. Dodatkowo luka trafiła na listę KEV prowadzonej przez CISA 29 maja, a amerykańskie instytucje federalne miały czas na wdrożenie zabezpieczeń do 1 czerwca.

Mimo tego kolejne zespoły analizujące zagrożenia raportowały próby wykorzystania podatności w następnych miesiącach. Ślady aktywności opisywano już pod koniec maja, w czerwcu i w lipcu.

Jak przebiegają ataki

W obserwowanych kampaniach napastnicy nie ograniczali się do samego wejścia przez VPN. Na zaatakowanych środowiskach pojawiały się też narzędzia używane do dalszej fazy ataku, takie jak:

• Cobalt Strike
• BloodHound
• SharpHound

To sugeruje, że celem nie jest jedynie jednorazowy dostęp, ale także rozpoznanie infrastruktury, ruch boczny i przygotowanie gruntu pod kradzież danych lub wdrożenie ransomware.

Dlaczego ta luka jest tak groźna

Największy problem polega na tym, że aktywność atakującego może wyglądać jak normalne połączenie pracownika zdalnego. Jeśli sesja VPN została już ustanowiona przed wdrożeniem łatki, samo zaktualizowanie systemu może nie wystarczyć do usunięcia zagrożenia.

To oznacza, że organizacje muszą zakładać, iż napastnik mógł już uzyskać dostęp i pozostawić po sobie ślady w infrastrukturze.

Co powinny zrobić organizacje

Wskazane działania są konkretne i pilne:

• natychmiast zaktualizować podatne wdrożenia,
• wyłączyć authentication override cookies, jeśli nie są potrzebne,
• zakończyć wszystkie aktywne sesje GlobalProtect po wdrożeniu poprawki,
• sprawdzić nietypowe połączenia, w tym sesje z nazwami hostów takimi jak „kali”,
• przeprowadzić analizę pod kątem wcześniejszego dostępu napastnika.

Najważniejszy wniosek

Ta historia pokazuje, że nawet kilka miesięcy po publikacji poprawki stare luki potrafią nadal napędzać realne kampanie ransomware. Sam patch to za mało, jeśli organizacja nie sprawdzi, czy atakujący nie zdążył już wejść do środka.