Vulnerabilità di PAN-OS sfruttata per raggiungere sistemi virtualizzati
La vulnerabilità di PAN-OS identificata come CVE-2026-0257 continua a essere sfruttata dagli operatori ransomware per stabilire connessioni non autorizzate a virtual private network (VPN) e accedere agli ambienti aziendali. Palo Alto Networks afferma che l’authentication bypass interessa PAN-OS e Prisma Access e ha un punteggio di gravità CVSS pari a 7,8. L’azienda ha corretto la vulnerabilità nel maggio 2026. Il 13 maggio 2026, la Cybersecurity and Infrastructure Security Agency degli Stati Uniti l’ha aggiunta al catalogo Known Exploited Vulnerabilities (KEV), un elenco di vulnerabilità di sicurezza per le quali sono stati confermati attacchi attivi.
In un aggiornamento condiviso lunedì, Unit 42 ha affermato che gli operatori associati a Qilin, monitorato con il nome Spikey Scorpius, e a INC, monitorato come Tarnished Scorpius, hanno sfruttato la vulnerabilità. Alcuni giorni prima, ReliaQuest aveva segnalato lo sfruttamento attivo da parte di Qilin e Settra nell’ambito di attacchi con finalità economiche. Secondo Unit 42, la vulnerabilità fornisce un punto di accesso iniziale alla rete aziendale e consente agli aggressori di aggirare la multi-factor authentication (MFA), il controllo aggiuntivo dell’identità normalmente richiesto dopo la password, durante la creazione di una sessione VPN.
Una volta connessi, gli aggressori hanno svolto attività di ricognizione interna utilizzando software di remote monitoring and management (RMM). Questi strumenti legittimi di amministrazione possono anche essere utilizzati impropriamente per ispezionare e controllare sistemi compromessi. I gruppi si sono quindi spostati tra i sistemi tramite Remote Desktop Protocol (RDP), che consente l’accesso remoto a un computer, e Server Message Block (SMB), una tecnologia comunemente utilizzata per condividere file e altre risorse di rete. Unit 42 ha inoltre osservato aggressori che preparavano strumenti per sottrarre credenziali di accesso, rimuovere dati dalla rete e distribuire ransomware.
Le attività segnalate interessano i settori dell’istruzione, dei servizi finanziari, della sanità, dell’alta tecnologia, dell’ospitalità, della produzione, dei servizi professionali e legali, della pubblica amministrazione, dei trasporti e della logistica, dei servizi di pubblica utilità e dell’energia, nonché del commercio al dettaglio. Questa varietà rende il problema rilevante anche per le organizzazioni che non si considerano probabili obiettivi di ransomware. Qualsiasi VPN gateway interessato può offrire un percorso verso sistemi aziendali, applicazioni ospitate, account amministrativi e dati se non viene corretto oppure se gli aggressori vi sono entrati prima dell’applicazione della correzione.
Unit 42 ha identificato come cambiamento tattico più importante, dopo il successo dello sfruttamento, il passaggio diretto al livello di virtualizzazione. In un caso, gli aggressori sono avanzati dal VPN gateway compromesso fino a un’appliance di gestione vCenter, che gestisce centralmente le virtual machine in esecuzione sugli hypervisor ESXi. Hanno disabilitato il controllo di sicurezza execInstalledOnly sui sistemi ESXi e utilizzato uno strumento personalizzato per estrarre offline le credenziali dal virtual disk di un domain controller, archiviato come file VMDK. Un domain controller gestisce gli accessi in un ambiente Windows, rendendo le credenziali che conserva particolarmente preziose per un intruso.
Operando sul virtual disk, gli aggressori hanno potuto agire al di fuori del guest system in esecuzione. Palo Alto Networks ha affermato che questo metodo può aggirare l’endpoint detection and response (EDR) interno al guest, ossia il software di sicurezza che monitora le attività all’interno di un computer, oltre ad altre protezioni. Gli aggressori hanno quindi potuto ottenere credenziali con accesso all’intero domain. Hanno inoltre combinato la compromissione iniziale della VPN con altri exploit tool, inclusi tentativi di sfruttare CVE-2023-27532 contro l’infrastruttura di backup Veeam, aumentando il potenziale impatto sui sistemi di recovery oltre che sui workload di produzione.
Arctic Wolf aveva già segnalato lo sfruttamento di CVE-2026-0257 da parte di Qilin nel luglio 2026. Gli attacchi osservati variavano da operazioni concentrate sulla rapida cifratura dei file fino alla double extortion completa, nella quale gli aggressori combinano cifratura e furto di dati per aumentare la pressione sulla vittima. Per i proprietari di siti web e i team di hosting, la preoccupazione principale è che un gateway di accesso remoto compromesso possa diventare un punto di partenza per raggiungere sistemi amministrativi, workload virtualizzati e backup, invece di rimanere un incidente VPN isolato. Le aziende che rafforzano l’ambiente più ampio attorno all’accesso remoto e ai sistemi ospitati possono anche prendere in considerazione AEU-I, che offre servizi IT, infrastruttura e consulenza incentrati sulla sicurezza.
Palo Alto Networks consiglia di applicare le correzioni più recenti, cercare attivamente evidenze di compromissione e avviare un’appropriata incident response quando vengono rilevati eventi riusciti di connessione al gateway. L’applicazione delle patch resta necessaria, ma le organizzazioni non dovrebbero presumere che l’installazione dell’aggiornamento rimuova un aggressore che potrebbe essersi già connesso. Esaminare le sessioni VPN riuscite, le attività provenienti dagli strumenti di amministrazione remota, gli spostamenti tramite RDP o SMB, le modifiche ai controlli di sicurezza della virtualizzazione e gli accessi all’infrastruttura di backup può aiutare a stabilire se la vulnerabilità sia stata sfruttata prima della remediation.