CVE-2026-0257 : Qilin ransomware s'attaque aux VPN Palo Alto

Comment CVE-2026-0257 est devenue la porte d'entrée du ransomware Qilin

L'exploitation de vulnérabilités dans les équipements de sécurité périmétrique — pare-feu, passerelles VPN, concentrateurs SSL — est devenue la tactique d'accès initial favorite des opérateurs de ransomware. En juillet 2026, Arctic Wolf Networks a publié les conclusions de plusieurs investigations post-incident qui établissent un lien clair entre CVE-2026-0257, une faille d'authentification dans le composant GlobalProtect de Palo Alto Networks PAN-OS, et des intrusions conduisant au déploiement du ransomware Qilin dans des réseaux d'entreprise à travers l'Amérique du Nord et l'Europe occidentale.

CVE-2026-0257 est une vulnérabilité de type authentication bypass qui affecte le portail GlobalProtect et la passerelle GlobalProtect de PAN-OS. Sa nature est particulièrement insidieuse : la faille se déclenche uniquement lorsque certaines configurations spécifiques sont actives — à savoir l'utilisation de cookies de substitution d'authentification (authentication override cookies) combinée à certains paramètres de configuration de certificats. En pratique, cette combinaison est courante dans les déploiements GlobalProtect à grande échelle qui cherchent à simplifier l'expérience utilisateur en évitant la réauthentification systématique. La CISA américaine ainsi que le CERT-EU ont tous deux émis des alertes demandant l'application urgente des correctifs publiés par Palo Alto Networks. Le score CVSS assigné est de 7.8, un niveau élevé qui justifiait une remédiation rapide.

Une fois la session GlobalProtect établie frauduleusement, les attaquants disposent d'un accès VPN légitime au réseau interne de la victime. L'analyse forensique conduite par Arctic Wolf sur plusieurs incidents a révélé un schéma d'attaque remarquablement cohérent d'une intrusion à l'autre — ce qui suggère soit un playbook opérationnel partagé entre les affiliés Qilin, soit une automatisation partielle des premières phases de l'attaque. Dans tous les cas documentés, la séquence débute par l'établissement de la session VPN frauduleuse, suivie d'une phase de reconnaissance interne rapide visant à cartographier les contrôleurs de domaine Active Directory, les serveurs de fichiers et les sauvegardes.

La phase de mouvement latéral s'appuie principalement sur PsExec, l'outil d'administration à distance de Sysinternals, pour s'étendre à travers le réseau en réutilisant les identifiants compromis lors des phases préliminaires. Le dumping de credentials — extraction des hash NTLM depuis la mémoire du processus LSASS ou depuis des fichiers de configuration — précède systématiquement l'expansion latérale. Une fois que les attaquants atteignent un niveau de contrôle suffisant, typiquement après la compromission d'un contrôleur de domaine Active Directory, ils déposent les binaires du ransomware dans le répertoire C:\PerfLogs\, un dossier système légitime souvent mal supervisé par les outils EDR configurés pour surveiller en priorité les répertoires temporaires et système standards.

Avant de déclencher la phase de chiffrement, les opérateurs Qilin procèdent à une exfiltration des données les plus sensibles identifiées lors de la reconnaissance. Cette double extorsion — voler les données avant de les chiffrer pour disposer d'un double levier de pression — est devenue la norme dans le secteur du ransomware-as-a-service. Qilin dispose d'un site d'extorsion où sont publiées les données des victimes qui refusent de payer. L'effacement systématique des journaux d'événements Windows en fin d'opération vise à compliquer le travail d'investigation et à ralentir la reconstruction de la chronologie de l'attaque.

Les versions de PAN-OS affectées couvrent plusieurs branches toujours en service dans de nombreuses organisations : PAN-OS 10.2, 11.1, 11.2 et 12.1, ainsi que certaines versions de Prisma Access. Palo Alto Networks a publié des correctifs pour toutes ces branches. L'Agence de cybersécurité de Singapour (CSA) a publié deux advisories distincts sur ce vecteur, signe que les incidents documentés ont touché des organisations dans plusieurs régions du monde et pas seulement en Occident.

Un point critique à noter dans le processus de remédiation : le simple déploiement du patch ne suffit pas à garantir la sécurité si une session GlobalProtect frauduleuse était déjà active au moment de la correction. Palo Alto Networks recommande explicitement de terminer toutes les sessions GlobalProtect actives après l'application du correctif, afin de forcer une réauthentification complète qui ne pourra plus être contournée via la vulnérabilité. Les organisations qui omettent cette étape pourraient laisser en place des accès initiaux déjà établis par des attaquants présents dans leur réseau depuis plusieurs semaines.

La revue des journaux VPN constitue une autre étape indispensable de la réponse à incident. Il convient de rechercher des connexions GlobalProtect dont la cinématique est anormale — notamment des authentifications réussies sans présentation normale de credentials, des accès depuis des adresses IP géographiquement incohérentes avec les habitudes des utilisateurs, ou des connexions à des horaires inhabituels. Des outils SIEM correctement configurés peuvent automatiser cette recherche, à condition que les logs GlobalProtect soient bien intégrés dans la collecte centralisée.

Le périmètre de sécurité reste la cible prioritaire des opérateurs de ransomware

L'exploitation de CVE-2026-0257 s'inscrit dans une tendance lourde documentée depuis plusieurs années : les opérateurs de ransomware privilégient massivement les vulnérabilités dans les équipements de sécurité périmétrique comme vecteur d'accès initial. On retrouve cette même tactique dans les campagnes Clop qui ont exploité les failles MOVEit Transfer et GoAnywhere MFT, les attaques LockBit ciblant les appliances Citrix Bleed, ou encore les campagnes exploitant les failles FortiGate documentées sous le nom FortiBleed. La raison est structurelle : un équipement VPN ou pare-feu exposé sur Internet représente par définition un accès direct au réseau interne, sans nécessiter de phishing préalable ni de compromission d'un poste utilisateur.

Le cas Qilin est particulièrement significatif car ce groupe, initialement documenté comme un acteur de second rang, a considérablement accru son activité depuis mi-2025. L'équipe Unit 42 de Palo Alto Networks — l'unité de threat intelligence de l'éditeur, indépendante des équipes produit — a documenté une montée en puissance de Qilin dans le secteur de la santé, des infrastructures critiques et des cabinets d'avocats en Amérique du Nord et en Europe occidentale. Le groupe opère sur le modèle du Ransomware-as-a-Service (RaaS), avec un noyau dur qui développe et maintient l'infrastructure, et des affiliés qui conduisent les intrusions en échange d'une commission sur les rançons perçues.

La vulnérabilité CVE-2026-0257 soulève également une question de conception sécurisée (security by design) : pourquoi un équipement de sécurité aussi critique qu'une passerelle VPN dispose-t-il d'une configuration courante qui ouvre une surface d'attaque aussi large ? La combinaison de cookies de substitution d'authentification et de paramètres de certificats qui déclenche la vulnérabilité n'est pas une configuration exotique ; c'est un mode de déploiement répandu dans les environnements GlobalProtect à grande échelle. Cela signifie que des milliers d'organisations avaient déployé leurs passerelles VPN dans un état vulnérable sans en avoir conscience, illustrant la difficulté de maintenir une posture de sécurité correcte sur des équipements périmétrique complexes.

Pour les équipes sécurité, cette affaire doit relancer la réflexion sur la supervision des équipements périmétrique eux-mêmes — souvent les parents pauvres de la couverture EDR/XDR. Si les postes de travail et les serveurs Windows sont généralement couverts par des agents EDR modernes, les appliances réseau (pare-feu, VPN, load balancers) fonctionnent sur des systèmes propriétaires qui ne permettent pas l'installation d'agents standard. La télémétrie disponible se limite aux journaux syslog et aux alertes natives — précisément les données que les attaquants effacent ou contournent en premier lors de leurs opérations.

Ce qu'il faut retenir

• Appliquer immédiatement les correctifs Palo Alto pour CVE-2026-0257 sur toutes les branches PAN-OS affectées (10.2, 11.1, 11.2, 12.1) et Prisma Access, puis terminer toutes les sessions GlobalProtect actives pour forcer une réauthentification.
• Auditer les journaux VPN GlobalProtect pour détecter d'éventuelles connexions frauduleuses antérieures au patch : authentifications sans trace normale de credentials, accès depuis des IP anormales ou à des horaires inhabituels.
• Ce vecteur confirme la tendance : les équipements périmétrique sont la cible prioritaire des ransomware — leur supervision doit être renforcée au même niveau que les serveurs critiques.