Η ευπάθεια PAN-OS με αναγνωριστικό CVE-2026-0257 συνεχίζει να αξιοποιείται από ομάδες ransomware, παρότι η διόρθωσή της κυκλοφόρησε ήδη από τον Μάιο του 2026. Η Palo Alto Networks επιβεβαίωσε ότι οι Qilin και INC τη χρησιμοποιούν για να παρακάμψουν την πολυπαραγοντική ταυτοποίηση (MFA) και να στήσουν μη εξουσιοδοτημένες συνδέσεις VPN σε εταιρικά δίκτυα.
Ευπάθεια PAN-OS: τι γνωρίζουμε για την CVE-2026-0257
Το πρόβλημα είναι ένα κενό παράκαμψης ταυτοποίησης (authentication bypass) που επηρεάζει τα PAN-OS και Prisma Access και έχει βαθμολογία CVSS 7.8. Η Palo Alto Networks το διόρθωσε τον Μάιο του 2026, ενώ η αμερικανική υπηρεσία CISA το πρόσθεσε στον κατάλογο Known Exploited Vulnerabilities (KEV) στις 13 Μαΐου 2026, δηλαδή το χαρακτήρισε ευπάθεια που ήδη εκμεταλλεύονται επιτιθέμενοι.
Σύμφωνα με την ομάδα Unit 42 της εταιρείας, στους φορείς που αξιοποιούν το κενό περιλαμβάνονται οι Spikey Scorpius, γνωστή και ως Qilin, και Tarnished Scorpius, γνωστή και ως INC. Λίγες ημέρες νωρίτερα, η ReliaQuest είχε αναφέρει ότι εντόπισε τις Qilin και Settra να εκμεταλλεύονται ενεργά το ίδιο κενό σε επιθέσεις με οικονομικά κίνητρα. Η Arctic Wolf είχε επισημάνει τη δραστηριότητα της Qilin ήδη τον Ιούλιο του 2026, με επιθέσεις που κυμαίνονταν από γρήγορη κρυπτογράφηση χωρίς κλοπή δεδομένων έως πλήρη διπλό εκβιασμό (double extortion).
Οι επιθέσεις δεν περιορίζονται σε έναν κλάδο. Έχουν στοχεύσει εκπαίδευση, χρηματοπιστωτικές υπηρεσίες, υγεία, υψηλή τεχνολογία, φιλοξενία, βιομηχανία, νομικές και επαγγελματικές υπηρεσίες, δημόσιο, μεταφορές και logistics, ενέργεια και κοινωφελείς επιχειρήσεις, καθώς και λιανικό εμπόριο.
Από την πύλη VPN στον πυρήνα της υποδομής
Οι επιτιθέμενοι αξιοποιούν το κενό για να αποκτήσουν αρχική πρόσβαση, να παρακάμψουν το MFA και να ανοίξουν συνεδρία VPN. Από εκεί και πέρα κινούνται με γνωστό μοτίβο: χαρτογραφούν το εσωτερικό δίκτυο με νόμιμα εργαλεία απομακρυσμένης διαχείρισης (RMM), μετακινούνται πλευρικά μέσω RDP και SMB και προετοιμάζουν εργαλεία για κλοπή διαπιστευτηρίων, εξαγωγή δεδομένων και εγκατάσταση ransomware.
Πώς αξιοποιείται η ευπάθεια PAN-OS για έλεγχο της εικονικοποίησης
Η σημαντικότερη εξέλιξη, κατά την Unit 42, είναι η άμεση στροφή προς το επίπεδο εικονικοποίησης. Σε ένα περιστατικό, οι επιτιθέμενοι πέρασαν από την παραβιασμένη πύλη VPN στο vCenter, απενεργοποίησαν έναν μηχανισμό ασφαλείας στους ESXi hypervisors (execInstalledOnly) και χρησιμοποίησαν προσαρμοσμένο εργαλείο για εξαγωγή διαπιστευτηρίων εκτός σύνδεσης, απευθείας από τον εικονικό δίσκο (VMDK) ενός domain controller.
Με αυτόν τον τρόπο παρακάμπτονται οι λύσεις EDR και οι προστασίες που τρέχουν μέσα στα εικονικά συστήματα, και οι επιτιθέμενοι αποκτούν διαπιστευτήρια για ολόκληρο το domain. Έχει παρατηρηθεί επίσης συνδυασμός με επιθέσεις στην υποδομή αντιγράφων ασφαλείας Veeam, μέσω της γνωστής ευπάθειας CVE-2023-27532, ώστε η ζημιά να είναι μέγιστη και η αποκατάσταση δύσκολη.
Γιατί έχει σημασία
Το περιστατικό δείχνει ότι μια διορθωμένη ευπάθεια παραμένει επικίνδυνη όσο υπάρχουν συστήματα χωρίς patch. Ο εκτεθειμένος στο διαδίκτυο εξοπλισμός VPN είναι ελκυστικός στόχος, γιατί μία επιτυχημένη παράκαμψη δίνει νόμιμης όψης πρόσβαση στο εσωτερικό δίκτυο.
Δείχνει επίσης ότι το MFA δεν αρκεί από μόνο του όταν το ίδιο το σημείο ταυτοποίησης έχει ελάττωμα. Τέλος, η στροφή προς τους hypervisors και τα αντίγραφα ασφαλείας υπενθυμίζει ότι η προστασία των endpoints δεν καλύπτει τα επίπεδα διαχείρισης της υποδομής, όπου οι επιτιθέμενοι μπορούν να δράσουν χωρίς να τους δουν τα συνηθισμένα εργαλεία.
Τι πρέπει να κάνετε
- Εφαρμόστε άμεσα τις τελευταίες διορθώσεις της Palo Alto Networks σε όλα τα συστήματα PAN-OS και Prisma Access.
- Αναζητήστε προληπτικά ενδείξεις παραβίασης (indicators of compromise) και ελέγξτε τις επιτυχημένες συνδέσεις μέσω της πύλης VPN.
- Αν εντοπίσετε ύποπτα επιτυχημένα γεγονότα στην πύλη, ενεργοποιήστε τις διαδικασίες αντιμετώπισης περιστατικών.
- Παρακολουθήστε τη χρήση εργαλείων RMM, καθώς και την ασυνήθιστη κίνηση RDP και SMB στο εσωτερικό δίκτυο.
- Θωρακίστε το vCenter, τους ESXi hypervisors και τα domain controllers, περιορίζοντας την πρόσβαση διαχείρισης και ελέγχοντας αλλαγές σε ρυθμίσεις ασφαλείας.
- Επανεξετάστε την ασφάλεια της υποδομής Veeam και βεβαιωθείτε ότι έχουν διορθωθεί γνωστές ευπάθειες όπως η CVE-2023-27532.
Πηγή: The Hacker News