Qilin exploite CVE-2026-0257 dans Palo Alto GlobalProtect

Ce qui s'est passé

Arctic Wolf Labs a publié le 20 juillet 2026 une analyse détaillée reliant une série d'intrusions documentées en juin 2026 à l'exploitation de CVE-2026-0257, une vulnérabilité affectant les composants GlobalProtect Portal et GlobalProtect Gateway de Palo Alto Networks PAN-OS. Dans tous les cas étudiés, la compromission initiale du réseau est passée par cette même faille, qui permettait à des attaquants distants non authentifiés d'établir des sessions VPN sans disposer de credentials valides, avant de déployer le ransomware Qilin sur l'ensemble de l'environnement compromis.

CVE-2026-0257 reçoit un score CVSS de 7.8 (élevé). La faille réside dans le mécanisme de validation des cookies d'authentification override : lorsque cette fonctionnalité est activée avec une configuration de certificat spécifique — où le même certificat sert à la fois l'interface HTTPS et le chiffrement du cookie — le gateway déchiffre le cookie sans en vérifier la signature cryptographique. Un attaquant peut alors récupérer la clé publique depuis l'interface HTTPS exposée et forger des cookies d'authentification valides, obtenant ainsi une session VPN pleinement authentifiée sans fournir d'identifiants légitimes. Palo Alto Networks a corrigé la vulnérabilité le 13 mai 2026, mais les attaquants ont commencé à l'exploiter quelques jours seulement après la publication du patch, suggérant un processus de rétro-ingénierie rapide du correctif.

La CISA américaine a ajouté CVE-2026-0257 à son catalogue KEV (Known Exploited Vulnerabilities) dès le 29 mai 2026, imposant aux agences fédérales un délai de correction de trois semaines. La vitesse de propagation de l'exploitation a largement dépassé la capacité de patching de nombreuses organisations. Selon Shadowserver, plus de 167 000 instances GlobalProtect restaient accessibles sur Internet au moment de la publication du rapport Arctic Wolf. Shodan relevait de son côté plus de 172 000 adresses IP présentant une empreinte GlobalProtect, illustrant l'ampleur de la surface d'attaque encore exposée.

Les versions affectées incluent PAN-OS 10.2, 11.1, 11.2 et 12.1 en dessous de certaines versions corrigées spécifiques, ainsi que plusieurs versions de Prisma Access. La condition nécessaire à l'exploitation — l'activation des cookies d'authentification override — est une fonctionnalité répandue dans les déploiements d'entreprise car elle simplifie la gestion des sessions dans les architectures SSO complexes. De nombreuses équipes avaient donc activé cette option sans mesurer le risque lié à cette configuration de certificat particulière.

Une fois l'accès initial obtenu, les affiliés Qilin ont suivi un schéma opérationnel cohérent, bien que présentant des variations entre victimes. La phase de post-exploitation démarre systématiquement par des opérations de vol de credentials : extraction de la mémoire du processus LSASS pour récupérer les hachages de mots de passe, et extraction de la base de données NTDS.dit depuis les contrôleurs de domaine Active Directory pour obtenir l'ensemble des identifiants du domaine. Ces credentials permettent ensuite un déplacement latéral à travers les partages administratifs Windows via WMI et SMB, souvent facilité par l'outil légitime PsExec pour l'exécution de commandes à distance.

Arctic Wolf a identifié plusieurs marqueurs opérationnels récurrents permettant l'attribution à Qilin : le staging du ransomware dans le répertoire C:\PerfLogs\, un pattern de persistance spécifique dans la base de registre Windows, et l'usage systématique de PsExec pour la propagation latérale. Ces indicateurs de compromission permettent aux équipes de détection de rechercher des traces d'activité Qilin même en l'absence d'alertes antivirus classiques. Le rapport précise que les tactiques post-exploitation varient selon les affiliés : certaines intrusions ont abouti à un chiffrement rapide avec temps de résidence minimal et sans exfiltration, d'autres ont impliqué une reconnaissance étendue et une exfiltration préalable avant déclenchement du ransomware.

Qilin, également connu sous le nom Agenda ransomware, opère selon un modèle Ransomware-as-a-Service depuis 2022. Le groupe est reconnu pour ses charges utiles écrites en Go et Rust, capables de cibler à la fois Windows et Linux/VMware ESXi. La flexibilité de ce double ciblage est particulièrement redoutable dans les environnements de virtualisation d'entreprise, où la compromission d'un hyperviseur ESXi peut paralyser simultanément des dizaines de machines virtuelles. En 2025, Qilin avait déjà revendiqué des attaques contre des établissements du National Health Service britannique et plusieurs fournisseurs de services managés européens.

Sur le plan des recommandations, Palo Alto Networks préconise une séquence précise. Outre l'application immédiate du correctif pour PAN-OS, il est recommandé de révoquer et renouveler toutes les sessions GlobalProtect actives après le patch, de désactiver la fonctionnalité d'authentication override cookies si elle n'est pas strictement nécessaire, ou d'utiliser des certificats dédiés distincts pour le chiffrement des cookies et l'interface HTTPS. Un audit des journaux de connexion VPN sur les 90 derniers jours est également conseillé pour détecter d'éventuelles intrusions passées depuis mai 2026.

Pourquoi c'est important

L'exploitation de CVE-2026-0257 par Qilin s'inscrit dans une tendance lourde : les groupes ransomware ciblent en priorité les équipements de périmètre réseau — VPN, pare-feu, load balancers — comme vecteur d'accès initial. Ces équipements sont directement exposés sur Internet, souvent moins bien supervisés que les postes internes, et leur compromission fournit un accès réseau légitime contournant les contrôles de sécurité internes. En 2025 et 2026, les vulnérabilités dans Fortinet FortiGate, Ivanti Connect Secure, et désormais Palo Alto GlobalProtect ont toutes été weaponisées dans les jours suivant leur divulgation publique.

Le délai entre la correction officielle (13 mai) et l'exploitation active documentée (avant fin mai) — moins de deux semaines — illustre une pression croissante sur les équipes de patching que le modèle traditionnel de gestion des vulnérabilités, planifiant les correctifs sur des cycles mensuels ou trimestriels, ne peut absorber. Les organisations qui n'ont pas encore adopté un processus de correction d'urgence pour les vulnérabilités critiques sur équipements exposés s'exposent à un risque structurel majeur.

La persistance de plus de 167 000 instances non patchées deux mois après la disponibilité du correctif reflète la difficulté pratique du patching des équipements réseau en production : chaque mise à jour implique une coupure du service VPN, incompatible avec les contraintes opérationnelles des organisations dont les collaborateurs dépendent de GlobalProtect pour leur accès en télétravail. Cette tension entre impératif de sécurité et continuité opérationnelle est un défi structurel que les équipes de sécurité doivent traiter en amont par des procédures de maintenance planifiées et des architectures redondantes.

Pour les organisations sans SOC disponible 24h/24, la rapidité avec laquelle Qilin peut progresser de l'accès initial au chiffrement total du SI — parfois en moins de 24 heures selon les victimes documentées — ne laisse que très peu de marge pour la détection et la réponse. Cela renforce l'argument en faveur de technologies de détection comportementale capables d'identifier les patterns d'attaque indépendamment des signatures malveillantes connues.

Ce qu'il faut retenir

• Appliquer immédiatement le correctif pour CVE-2026-0257 sur toutes les instances PAN-OS GlobalProtect (10.2, 11.1, 11.2, 12.1) et Prisma Access concernées, puis révoquer toutes les sessions VPN actives.
• Auditer les journaux GlobalProtect des 90 derniers jours et rechercher les IOC Qilin : fichiers dans C:\PerfLogs\, exécution PsExec généralisée, accès LSASS et NTDS.dit sur les contrôleurs de domaine.
• Désactiver les authentication override cookies ou les isoler sur des certificats dédiés comme mesure de durcissement pérenne indépendante du patch.