PAN-OS-Schwachstelle ausgenutzt, um virtualisierte Systeme zu erreichen
Die als CVE-2026-0257 geführte PAN-OS-Schwachstelle wird weiterhin von Ransomware-Akteuren ausgenutzt, um unautorisierte Verbindungen über ein virtual private network (VPN) herzustellen und in Unternehmensumgebungen einzudringen. Laut Palo Alto Networks betrifft der authentication bypass PAN-OS und Prisma Access und weist einen CVSS-Schweregrad von 7,8 auf. Das Unternehmen hat die Schwachstelle im Mai 2026 gepatcht. Die U.S. Cybersecurity and Infrastructure Security Agency nahm sie am 13. Mai 2026 in den Known Exploited Vulnerabilities (KEV) catalog auf, eine Liste von Sicherheitslücken, die nachweislich aktiv angegriffen werden.
Unit 42 erklärte in einem am Montag veröffentlichten Update, dass Akteure, die mit Qilin in Verbindung stehen und von Unit 42 als Spikey Scorpius verfolgt werden, sowie INC, das als Tarnished Scorpius verfolgt wird, die Schwachstelle ausgenutzt haben. Einige Tage zuvor hatte ReliaQuest über eine aktive Ausnutzung durch Qilin und Settra bei finanziell motivierten Angriffen berichtet. Laut Unit 42 bietet die Schwachstelle einen ersten Einstiegspunkt in ein Unternehmensnetzwerk und ermöglicht es Angreifern, beim Aufbau einer VPN-Session die multi-factor authentication (MFA) zu umgehen, also die zusätzliche Identitätsprüfung, die normalerweise nach einem Passwort erforderlich ist.
Nach dem Verbindungsaufbau führten die Angreifer mithilfe von remote monitoring and management (RMM)-Software interne Erkundungen durch. Diese legitimen Administrationswerkzeuge können auch missbraucht werden, um kompromittierte Systeme zu untersuchen und zu steuern. Anschließend bewegten sich die Gruppen über Remote Desktop Protocol (RDP), das den Fernzugriff auf einen Computer ermöglicht, und Server Message Block (SMB), eine häufig zur Freigabe von Dateien und anderen Netzwerkressourcen eingesetzte Technologie, zwischen den Systemen. Unit 42 beobachtete außerdem, wie Angreifer Tools zum Stehlen von Anmeldedaten, zum Ausschleusen von Daten aus dem Netzwerk und zum Einsatz von Ransomware vorbereiteten.
Die gemeldeten Aktivitäten erstrecken sich auf Bildung, Finanzdienstleistungen, Gesundheitswesen, Hochtechnologie, Gastgewerbe, Fertigung, professionelle und juristische Dienstleistungen, Behörden, Transport und Logistik, Versorgungsunternehmen und Energie sowie Einzelhandel. Aufgrund dieser Bandbreite ist das Problem auch für Organisationen relevant, die sich selbst nicht als wahrscheinliche Ziele von Ransomware betrachten. Jedes betroffene VPN gateway kann einen Weg zu Geschäftssystemen, gehosteten Anwendungen, Administrationskonten und Daten eröffnen, wenn es ungepatcht bleibt oder Angreifer vor der Installation des Fixes eingedrungen sind.
Unit 42 bezeichnete den direkten Wechsel in den virtualization layer als wichtigste Änderung der Taktik nach einer erfolgreichen Ausnutzung. In einem Fall gelangten die Angreifer vom kompromittierten VPN gateway zu einer vCenter management appliance, die auf ESXi hypervisors ausgeführte virtual machines zentral verwaltet. Sie deaktivierten die Sicherheitskontrolle execInstalledOnly auf den ESXi-Systemen und nutzten ein speziell entwickeltes Tool, um offline Anmeldedaten aus dem virtual disk eines domain controller zu extrahieren, das als VMDK-Datei gespeichert war. Ein domain controller verwaltet Anmeldungen innerhalb einer Windows-Umgebung, weshalb die dort gespeicherten Anmeldedaten für einen Eindringling besonders wertvoll sind.
Durch das Vorgehen gegen den virtual disk konnten die Angreifer außerhalb des laufenden guest system agieren. Laut Palo Alto Networks kann diese Methode in-guest endpoint detection and response (EDR), also Sicherheitssoftware zur Überwachung von Aktivitäten innerhalb eines Computers, sowie weitere Schutzmaßnahmen umgehen. Dadurch konnten die Angreifer Anmeldedaten erlangen, die Zugriff auf die gesamte domain gewährten. Sie kombinierten die anfängliche Kompromittierung des VPN außerdem mit anderen Exploit-Tools, darunter Versuche, CVE-2023-27532 gegen die Veeam-backup infrastructure auszunutzen. Dadurch steigt der potenzielle Schaden sowohl für Wiederherstellungssysteme als auch für produktive workloads.
Arctic Wolf hatte bereits zuvor darüber berichtet, dass Qilin CVE-2026-0257 im Juli 2026 ausnutzte. Die beobachteten Angriffe reichten von Operationen, die auf eine schnelle Dateiverschlüsselung ausgerichtet waren, bis hin zu vollständiger doppelter Erpressung, bei der Angreifer Verschlüsselung und Datendiebstahl kombinieren, um den Druck auf das Opfer zu erhöhen. Für Website-Betreiber und Hosting-Teams besteht die zentrale Sorge darin, dass ein kompromittiertes remote-access gateway zum Ausgangspunkt für den Zugriff auf Administrationssysteme, virtualisierte workloads und Backups werden kann, anstatt ein isolierter VPN-Vorfall zu bleiben. Unternehmen, die die umfassendere Umgebung rund um den Fernzugriff und gehostete Systeme stärken, können auch AEU-I in Betracht ziehen, das auf Sicherheit ausgerichtete IT, Infrastruktur und Beratung anbietet.
Palo Alto Networks empfiehlt, die neuesten Fixes einzuspielen, aktiv nach Hinweisen auf eine Kompromittierung zu suchen und eine angemessene incident response einzuleiten, wenn erfolgreiche, über das Gateway hergestellte Verbindungen festgestellt werden. Patching bleibt notwendig, doch Organisationen sollten nicht davon ausgehen, dass die Installation des Updates einen Angreifer entfernt, der möglicherweise bereits eine Verbindung hergestellt hat. Die Überprüfung erfolgreicher VPN-Sessions, der Aktivitäten von remote administration tools, lateraler Bewegungen über RDP oder SMB, von Änderungen an Sicherheitskontrollen der Virtualisierung sowie von Zugriffen auf die backup infrastructure kann dabei helfen festzustellen, ob die Schwachstelle vor der Behebung ausgenutzt wurde.