VKSECURITY Ransomware entra pela VPN sem senha: falha da Palo Alto corrigida em maio ainda é usada por Qilin e Settra
A ReliaQuest confirma que os grupos de ransomware Qilin e Settra estão abrindo sessões de VPN sem credencial em firewalls da Palo Alto Networks por meio da CVE-2026-0257, corrigida em maio. Como o acesso nasce na VPN da própria empresa, ele se parece com trabalho remoto comum — e quem corrigiu depois de maio pode ter uma sessão invasora ainda aberta.
A falha não é nova. A CVE-2026-0257, um contorno de autenticação no portal e no gateway do GlobalProtect — a VPN dos firewalls da Palo Alto Networks — foi publicada e corrigida em 13 de maio, com nota 7,8 e urgência máxima na classificação da própria fabricante. O que é novo é quem a está usando: em 11 de outubro, a ReliaQuest confirmou que o grupo de ransomware Settra se juntou ao Qilin na exploração ativa da brecha, cinco meses depois da correção.
Como funciona
A falha está na forma como o GlobalProtect confia em um cookie de “sobreposição de autenticação” sem validá-lo direito. Com ele, um atacante sem usuário nem senha consegue “contornar as restrições de segurança e estabelecer uma conexão VPN não autorizada”, nas palavras do aviso da Palo Alto.
E é aí que mora o perigo específico deste caso. Uma sessão de VPN aberta pelo atacante nasce dentro da infraestrutura da própria empresa. Para os sistemas de monitoramento, ela se parece com um funcionário trabalhando de casa. A ReliaQuest observou, nas invasões relacionadas, o uso de ferramentas de reconhecimento e movimentação lateral — Cobalt Strike, BloodHound e SharpHound — e sessões associadas a um nome de máquina revelador: “kali”, a distribuição Linux usada por invasores.
O que fica mesmo depois do remendo
A frase mais importante do relatório é esta: “aplicar a correção, sozinha, pode não remover o acesso estabelecido antes da remediação”. Toda empresa que corrigiu a falha entre maio e outubro passou um período vulnerável — e, se uma sessão foi aberta nesse intervalo, ela pode ter sobrevivido à atualização.
O que fazer
- Atualizar o PAN-OS para as versões corrigidas (a Palo Alto lista as versões por linha — 10.2, 11.1, 11.2 e 12.1).
- Desativar a “sobreposição de autenticação” por cookie onde ela não for necessária, ou usar um certificado dedicado para ela, como a fabricante orienta.
- Encerrar todas as sessões ativas do GlobalProtect depois de atualizar. A Palo Alto avisa que os usuários precisarão se autenticar de novo — é exatamente o objetivo.
- Investigar conexões inesperadas desde maio: origens incomuns, horários fora do padrão, nomes de máquina estranhos, contas que nunca usaram VPN.
- Procurar os rastros de reconhecimento — ferramentas como BloodHound deixam marcas no diretório e nos registros.
O padrão de outubro
É o quarto alerta sobre equipamentos de acesso remoto em três semanas: Citrix, Cisco, Ivanti e agora Palo Alto. Dois deles envolviam falhas inéditas; este envolve uma falha antiga, com correção disponível há cinco meses. Grupos de ransomware não escolhem o alvo pela sofisticação da brecha — escolhem pela quantidade de empresas que ainda não fecharam a porta. O Settra, que em setembro mostrou como desliga antivírus com um driver assinado, agora mostra como prefere entrar: pela VPN, com cara de funcionário.
Fontes
- Palo Alto Networks — Security Advisory CVE-2026-0257, “PAN-OS: GlobalProtect Authentication Bypass Vulnerabilities” (13/05/2026, atualizado em 03/06/2026): security.paloaltonetworks.com
-
ReliaQuest Threat Research — alerta sobre a exploração ativa por Qilin e Settra (11/10/2026): x.com/ReliaQuestTR
-
Foto de capa: sede da Palo Alto Networks em Santa Clara, na Califórnia — Namaste jinx, CC BY-SA 4.0, via Wikimedia Commons
- Segunda imagem: mesa de trabalho em casa com notebook e monitor — David Graham, CC BY-SA 4.0, via Wikimedia Commons
