Palo Alto Networks сообщила о продолжающейся эксплуатации уязвимости CVE-2026-0257 в PAN-OS и Prisma Access. Ошибка позволяет обойти аутентификацию и установить несанкционированное VPN-соединение, в том числе минуя многофакторную защиту (MFA). Оценка CVSS — 7,8. Компания выпустила исправление в мае 2026 года, но атаки продолжились.
Агентство США по кибербезопасности и защите инфраструктуры внесло CVE-2026-0257 в каталог Known Exploited Vulnerabilities (KEV) 13 мая 2026 года. В сообщении название агентства дано как «CSIA»; его общепринятая аббревиатура — CISA.
Исследователи Unit 42 сообщили об эксплуатации со стороны групп Spikey Scorpius, известной как Qilin, и Tarnished Scorpius, также называемой INC. Их обновление появилось в понедельник. Несколькими днями ранее ReliaQuest заявила, что обнаружила активные атаки Qilin и Settra, мотивированные финансовой выгодой.
По данным Unit 42, проникновение через VPN-шлюз становится началом дальнейшего перемещения по корпоративной сети. Злоумышленники обходят MFA, устанавливают VPN-сессию, а затем используют RDP и SMB для доступа к другим системам. После этого они размещают инструменты для кражи учётных данных, вывода данных и запуска шифровальщика.
В одном из описанных Palo Alto Networks инцидентов атакующие перешли с скомпрометированного VPN-шлюза на управляющий аппарат vCenter. На гипервизорах ESXi они отключили защитный механизм execInstalledOnly, а затем применили собственный инструмент для автономного извлечения учётных данных из VMDK — виртуального диска контроллера домена.
Такой способ позволяет обойти EDR и другие средства защиты, работающие внутри гостевой операционной системы. В результате злоумышленники получили учётные данные, распространявшиеся на весь домен. Доступ к виртуальному диску дал им возможность работать вне среды, которую обычно контролируют установленные на серверах защитные агенты.
Первоначальный способ проникновения также связывали с атаками на инфраструктуру резервного копирования Veeam. Злоумышленники комбинировали его с эксплуатацией CVE-2023-27532, стремясь нанести максимальный ущерб. В июле 2026 года Arctic Wolf отдельно сообщила об использовании CVE-2026-0257 группой Qilin: зафиксированные операции включали как быстрое шифрование без заявленного хищения данных, так и двойное вымогательство.
Среди затронутых отраслей перечислены образование, финансовые услуги, здравоохранение, высокие технологии, гостиничный бизнес, производство, профессиональные и юридические услуги, государственные учреждения, транспорт и логистика, коммунальная и энергетическая сферы, розничная торговля. Palo Alto Networks рекомендует установить последние исправления, активно искать признаки компрометации и запускать процедуры реагирования на инциденты при обнаружении успешных событий, связанных с VPN-шлюзом.
Изображение носит иллюстративный характер
Агентство США по кибербезопасности и защите инфраструктуры внесло CVE-2026-0257 в каталог Known Exploited Vulnerabilities (KEV) 13 мая 2026 года. В сообщении название агентства дано как «CSIA»; его общепринятая аббревиатура — CISA.
Исследователи Unit 42 сообщили об эксплуатации со стороны групп Spikey Scorpius, известной как Qilin, и Tarnished Scorpius, также называемой INC. Их обновление появилось в понедельник. Несколькими днями ранее ReliaQuest заявила, что обнаружила активные атаки Qilin и Settra, мотивированные финансовой выгодой.
По данным Unit 42, проникновение через VPN-шлюз становится началом дальнейшего перемещения по корпоративной сети. Злоумышленники обходят MFA, устанавливают VPN-сессию, а затем используют RDP и SMB для доступа к другим системам. После этого они размещают инструменты для кражи учётных данных, вывода данных и запуска шифровальщика.
В одном из описанных Palo Alto Networks инцидентов атакующие перешли с скомпрометированного VPN-шлюза на управляющий аппарат vCenter. На гипервизорах ESXi они отключили защитный механизм execInstalledOnly, а затем применили собственный инструмент для автономного извлечения учётных данных из VMDK — виртуального диска контроллера домена.
Такой способ позволяет обойти EDR и другие средства защиты, работающие внутри гостевой операционной системы. В результате злоумышленники получили учётные данные, распространявшиеся на весь домен. Доступ к виртуальному диску дал им возможность работать вне среды, которую обычно контролируют установленные на серверах защитные агенты.
Первоначальный способ проникновения также связывали с атаками на инфраструктуру резервного копирования Veeam. Злоумышленники комбинировали его с эксплуатацией CVE-2023-27532, стремясь нанести максимальный ущерб. В июле 2026 года Arctic Wolf отдельно сообщила об использовании CVE-2026-0257 группой Qilin: зафиксированные операции включали как быстрое шифрование без заявленного хищения данных, так и двойное вымогательство.
Среди затронутых отраслей перечислены образование, финансовые услуги, здравоохранение, высокие технологии, гостиничный бизнес, производство, профессиональные и юридические услуги, государственные учреждения, транспорт и логистика, коммунальная и энергетическая сферы, розничная торговля. Palo Alto Networks рекомендует установить последние исправления, активно искать признаки компрометации и запускать процедуры реагирования на инциденты при обнаружении успешных событий, связанных с VPN-шлюзом.
