Высокая по опасности уязвимость PAN-OS позволяет вымогательским группировкам обходить ограничения аутентификации и подключаться к корпоративным VPN. Атаки идут как минимум с начала июня 2026 года, затрагивая финансы, медицину, производство и другие отрасли. Для российских компаний с инфраструктурой Palo Alto Networks это повод не только проверить обновления, но и искать следы уже состоявшегося проникновения.
Речь о CVE-2026-0257 в порталах и шлюзах GlobalProtect. Ошибка может дать атакующему возможность установить несанкционированное VPN-соединение в обход защитных механизмов. По данным The Register, подразделение Palo Alto Networks Unit 42 расследует инциденты в многочисленных организациях; среди активных операторов названы Qilin и Inc.
Palo Alto Networks раскрыла проблему и выпустила исправление 13 мая. Первоначально вендор оценил её как уязвимость средней степени опасности: компания сообщала о попытках эксплуатации, но не наблюдала вредоносных атак. Эта оценка продержалась недолго. К концу мая исследователи Rapid7 сообщили об успешной эксплуатации в нескольких клиентских средах начиная как минимум с 17 мая. То есть у защитников был очень короткий промежуток между публикацией патча и подтверждёнными компрометациями.
Сценарий атаки неприятен именно своей практичностью. Злоумышленники используют CVE-2026-0257 как вход в сеть, обходят многофакторную аутентификацию и получают VPN-сессию. Дальше в ход идут привычные для вымогателей инструменты: Remote Desktop Protocol для перемещений между системами, SMB для работы с файлами и доставки дополнительного вредоносного ПО. Следующая стадия — сбор учётных данных, кража информации и шифрование инфраструктуры.
Unit 42 фиксировала атаки в образовании, финансовых сервисах, здравоохранении, высокотехнологичном секторе, гостиничном бизнесе, промышленности, профессиональных и юридических услугах, госсекторе, логистике, энергетике, оптовой и розничной торговле. Такой список означает не «кампанию против одной вертикали», а эксплуатацию доступного периметра там, где он найден. Отдельно аналитики ReliaQuest сообщили, что ошибку применяют несколько групп, включая операторов Settra.
Самая тревожная деталь расследований — переход атакующих к слою виртуализации. В одном из эпизодов после компрометации VPN-шлюза они добрались до vCenter, отключили на гипервизорах ESXi защитный параметр execInstalledOnly и применили собственный инструмент для офлайн-извлечения учётных данных из виртуального диска контроллера домена. Такой подход позволяет обойти средства защиты конечных точек внутри гостевой ОС: EDR может исправно работать на виртуальной машине, но данные уже читают с её диска снаружи.
Для ИБ-команд это меняет приоритеты проверки. Недостаточно убедиться, что на устройствах установлена актуальная версия PAN-OS: нужно изучить журналы GlobalProtect за период с мая, проверить аномальные VPN-сессии и обращения к vCenter, а также убедиться, что настройки ESXi не менялись без согласованной причины. Особое внимание стоит уделить новым административным учётным записям, RDP- и SMB-активности после VPN-подключений и попыткам выгрузки данных из резервной или виртуальной инфраструктуры.
Unit 42 также видела цепочки, где уязвимость PAN-OS использовали вместе с CVE-2023-27532 в инфраструктуре резервного копирования Veeam. Это важное напоминание для бизнеса: резервные копии не являются последней линией обороны, если их управляющий контур доступен из уже скомпрометированной сети. Сегментация, отдельные учётные записи и контроль административных путей к бэкапам здесь важнее красивого отчёта о проценте успешных копирований.
История CVE-2026-0257 показывает знакомую закономерность: публичный патч для периметрового продукта быстро превращается в инструкцию для криминальных групп. Чем дольше организация откладывает обновление, тем выше шанс, что задача уже не в устранении уязвимости PAN-OS, а в полноценном расследовании компрометации домена и виртуальной среды.
