Dobësia në PAN-OS po shfrytëzohet për të arritur te sistemet e virtualizuara
Dobësia në PAN-OS, e gjurmuar si CVE-2026-0257, vazhdon të shfrytëzohet nga operatorët e ransomware për të krijuar lidhje të paautorizuara virtual private network (VPN) dhe për të hyrë në mjediset e kompanive. Palo Alto Networks thotë se authentication bypass prek PAN-OS dhe Prisma Access dhe ka një vlerësim ashpërsie CVSS prej 7.8. Kompania e korrigjoi cenueshmërinë në maj 2026. Agjencia Amerikane për Sigurinë Kibernetike dhe Sigurinë e Infrastrukturës e shtoi atë më 13 maj 2026 në katalogun Known Exploited Vulnerabilities (KEV), një listë dobësish sigurie për të cilat është konfirmuar se janë nën sulm aktiv.
Unit 42 tha në një përditësim të publikuar të hënën se operatorët e lidhur me Qilin, të cilin e gjurmon si Spikey Scorpius, dhe me INC, të gjurmuar si Tarnished Scorpius, e kanë shfrytëzuar cenueshmërinë. Disa ditë më parë, ReliaQuest raportoi shfrytëzim aktiv nga Qilin dhe Settra në sulme me motive financiare. Sipas Unit 42, dobësia siguron një pikë fillestare hyrjeje në rrjetin e një kompanie dhe u lejon sulmuesve të anashkalojnë multi-factor authentication (MFA), kontrollin shtesë të identitetit që zakonisht kërkohet pas fjalëkalimit, kur krijojnë një sesion VPN.
Pasi janë lidhur, sulmuesit kanë kryer zbulim të brendshëm duke përdorur software remote monitoring and management (RMM). Këto mjete legjitime administrimi mund të keqpërdoren gjithashtu për të kontrolluar dhe komanduar sisteme të komprometuara. Më pas, grupet kanë lëvizur ndërmjet sistemeve përmes Remote Desktop Protocol (RDP), që siguron qasje në distancë në një kompjuter, dhe Server Message Block (SMB), një teknologji që përdoret zakonisht për të ndarë skedarë dhe burime të tjera të rrjetit. Unit 42 vëzhgoi gjithashtu sulmues që përgatitnin mjete për vjedhjen e kredencialeve të hyrjes, nxjerrjen e të dhënave nga rrjeti dhe vendosjen e ransomware.
Aktiviteti i raportuar përfshin arsimin, shërbimet financiare, kujdesin shëndetësor, teknologjinë e avancuar, hotelerinë, prodhimin, shërbimet profesionale dhe juridike, institucionet qeveritare, transportin dhe logjistikën, shërbimet publike dhe energjinë, si dhe shitjen me pakicë. Kjo shtrirje e bën problemin të rëndësishëm edhe për organizatat që nuk e konsiderojnë veten objektiva të mundshme të ransomware. Çdo VPN gateway i prekur mund të krijojë një rrugë drejt sistemeve të biznesit, aplikacioneve të hostuara, llogarive administrative dhe të dhënave, nëse mbetet pa patch ose nëse sulmuesit kanë hyrë përpara aplikimit të korrigjimit.
Unit 42 identifikoi kalimin e drejtpërdrejtë në shtresën e virtualizimit si ndryshimin më të rëndësishëm në taktika pas shfrytëzimit të suksesshëm. Në një rast, sulmuesit kaluan nga VPN gateway i komprometuar te një vCenter management appliance, i cili menaxhon në mënyrë të centralizuar virtual machines që funksionojnë në ESXi hypervisors. Ata çaktivizuan execInstalledOnly security control në sistemet ESXi dhe përdorën një mjet të personalizuar për të nxjerrë offline kredenciale nga virtual disk i një domain controller, i ruajtur si skedar VMDK. Një domain controller menaxhon hyrjet në të gjithë një mjedis Windows, duke i bërë kredencialet e ruajtura prej tij veçanërisht të vlefshme për një ndërhyrës.
Puna drejtpërdrejt me virtual disk u lejoi sulmuesve të vepronin jashtë guest system që ishte në funksionim. Palo Alto Networks tha se kjo metodë mund të anashkalojë endpoint detection and response (EDR) brenda guest system, software sigurie që monitoron aktivitetin brenda një kompjuteri, së bashku me masa të tjera mbrojtëse. Më pas, sulmuesit mund të siguronin kredenciale me qasje në të gjithë domain. Ata e kanë kombinuar gjithashtu komprometimin fillestar të VPN me mjete të tjera shfrytëzimi, përfshirë përpjekje për të abuzuar me CVE-2023-27532 kundër infrastrukturës së backup të Veeam, duke rritur ndikimin e mundshëm si mbi sistemet e rikuperimit, ashtu edhe mbi ngarkesat e punës në prodhim.
Arctic Wolf kishte raportuar më parë se Qilin po shfrytëzonte CVE-2026-0257 në korrik 2026. Sulmet e vëzhguara shkonin nga operacione të përqendruara në enkriptimin e shpejtë të skedarëve deri te double extortion i plotë, ku sulmuesit kombinojnë enkriptimin me vjedhjen e të dhënave për të rritur presionin ndaj viktimës. Për pronarët e faqeve të internetit dhe ekipet e hosting, shqetësimi kryesor është se një remote-access gateway i komprometuar mund të bëhet pikënisje për të arritur te sistemet administrative, ngarkesat e virtualizuara të punës dhe backup, në vend që të mbetet një incident i izoluar VPN. Bizneset që po forcojnë mjedisin më të gjerë rreth qasjes në distancë dhe sistemeve të hostuara mund të marrin në konsideratë edhe AEU-I, që ofron IT, infrastrukturë dhe konsulencë me sigurinë si përparësi.
Palo Alto Networks rekomandon aplikimin e korrigjimeve më të fundit, kërkimin aktiv të provave të komprometimit dhe fillimin e incident response të përshtatshëm kur gjenden ngjarje të suksesshme të lidhjes përmes gateway. Aplikimi i patch mbetet i domosdoshëm, por organizatat nuk duhet të supozojnë se instalimi i përditësimit largon një sulmues që mund të jetë lidhur tashmë. Shqyrtimi i sesioneve të suksesshme VPN, aktivitetit nga mjetet e administrimit në distancë, lëvizjeve përmes RDP ose SMB, ndryshimeve në kontrollet e sigurisë së virtualizimit dhe qasjes në infrastrukturën e backup mund të ndihmojë për të përcaktuar nëse dobësia ishte shfrytëzuar përpara korrigjimit.