CVE-2026-0257 : PAN-OS GlobalProtect exploité par Qilin, INC et Settra ransomware

Les faits

CVE-2026-0257 est une vulnérabilité d'authentification bypass dans les composants portal et gateway du client VPN GlobalProtect, intégrés dans PAN-OS, le système d'exploitation des firewalls Palo Alto Networks. La faille reçoit un score CVSS de 7.8 dans sa notation officielle, mais son impact réel en termes d'exploitation à grande échelle la place dans la catégorie des menaces de niveau critique en conditions opérationnelles.

Techniquement, la vulnérabilité résulte d'une mauvaise validation des cookies d'authentification. Les composants portal et gateway de GlobalProtect acceptent tout cookie d'authentification override qu'ils peuvent déchiffrer, sans vérifier que l'appliance a effectivement émis ce cookie. Un attaquant capable de forger ou d'obtenir un cookie valide peut ainsi s'authentifier sur GlobalProtect sans disposer de véritables identifiants, contournant également les mécanismes d'authentification multi-facteurs (MFA) mis en place sur le VPN. Ce dernier point est particulièrement critique : le MFA est souvent présenté comme un rempart absolument fiable contre ce type d'attaque, mais CVE-2026-0257 démontre qu'un bypass au niveau de la couche de validation des cookies peut rendre ce mécanisme inopérant.

Palo Alto Networks a publié le patch correctif le 13 mai 2026. Cependant, la fenêtre de correction n'a pas suffi à protéger toutes les organisations. Rapid7 a confirmé dès fin mai 2026 l'existence d'exploitations actives dans de multiples environnements clients, indiquant que la faille était connue d'acteurs offensifs avant ou très peu après la divulgation publique.

La CISA a ajouté CVE-2026-0257 à son catalogue KEV (Known Exploited Vulnerabilities) début juin 2026. Malgré cet avertissement officiel, les équipes d'Arctic Wolf Labs ont documenté tout au long de l'été et jusqu'en octobre 2026 des dizaines d'incidents ayant tous démarré par l'exploitation de cette vulnérabilité sur des firewalls Palo Alto Networks exposés à Internet. La mise à jour du rapport Unit 42 de Palo Alto Networks, publiée le 19 octobre 2026, confirme que la campagne d'exploitation est toujours active.

Le schéma d'attaque documenté par Arctic Wolf Labs est systématique : les acteurs malveillants utilisent CVE-2026-0257 comme vecteur d'accès initial. Une fois authentifiés sur le VPN via le bypass, ils contournent les contrôles EDR (Endpoint Detection and Response) habituellement actifs sur les endpoints car la connexion VPN est perçue comme légitime par les systèmes de détection. Depuis ce point d'entrée considéré comme "propre", les attaquants progressent latéralement dans le réseau de la victime, élèvent leurs privilèges et finissent par déployer un ransomware sur l'ensemble du domaine Active Directory. Dans plusieurs des incidents documentés, le délai entre l'exploitation initiale et le déploiement du ransomware a été inférieur à 48 heures.

Trois groupes ransomware distincts ont été formellement identifiés comme exploitant activement CVE-2026-0257 : Spikey Scorpius (alias Qilin), Tarnished Scorpius (alias INC) et Settra. Ces trois groupes opèrent selon le modèle Ransomware-as-a-Service (RaaS), ce qui signifie que la faille est accessible à de nombreux affiliés indépendants utilisant ces plateformes. Cette multiplication des acteurs explique le volume élevé d'incidents observés depuis juin 2026.

Qilin, connu pour ses attaques sophistiquées et ses demandes de rançon élevées (souvent plusieurs millions de dollars), a particulièrement ciblé des entreprises des secteurs de la santé, de l'industrie manufacturière et des services financiers. Le groupe utilise une technique de double extorsion : chiffrement des données ET publication sur un site de fuite en cas de non-paiement. INC Ransom a suivi un schéma similaire, avec des cibles dans les secteurs juridique, comptable et de l'ingénierie.

Selon la publication Unit 42 du 19 octobre 2026, des scans massifs d'instances GlobalProtect exposées à Internet sont régulièrement détectés, indiquant que les acteurs cherchent encore activement à identifier des cibles non patchées. Malgré plus de cinq mois écoulés depuis la publication du patch, un nombre significatif d'organisations n'a pas encore appliqué la correction, maintenant une surface d'attaque exploitable à grande échelle.

La situation est d'autant plus préoccupante que PAN-OS GlobalProtect est précisément déployé pour sécuriser les accès distants des entreprises. La compromission de ce composant donne aux attaquants un accès au réseau interne avec les mêmes privilèges qu'un employé légitime connecté en VPN, rendant la détection initiale particulièrement difficile.

Impact et exposition

Toute organisation utilisant Palo Alto Networks PAN-OS avec GlobalProtect (portal ou gateway) en version antérieure au patch du 13 mai 2026 reste exposée à CVE-2026-0257. Les firewalls exposés directement à Internet sont les plus à risque. Le vecteur d'attaque étant le composant VPN lui-même, le périmètre de défense traditionnel ne constitue pas une protection efficace contre cette vulnérabilité spécifique.

Les organisations qui ont migré vers Prisma Access (la version cloud de GlobalProtect) peuvent également être affectées selon leur configuration. Les équipes sécurité doivent vérifier à la fois leurs déploiements on-premise et cloud en consultant l'advisory officiel de Palo Alto Networks pour identifier les versions concernées.

Recommandations

• Vérifier immédiatement la version PAN-OS de tous vos firewalls Palo Alto Networks et appliquer le patch correctif disponible depuis le 13 mai 2026 si ce n'est pas encore fait.
• Auditer l'ensemble des connexions VPN GlobalProtect depuis juin 2026 pour détecter des authentifications suspectes : horaires inhabituels, géolocalisations atypiques, volumes de données anormaux.
• Analyser les logs GlobalProtect pour identifier des patterns d'utilisation de cookies d'authentification override non légitimes.
• Si des connexions suspectes sont identifiées, considérer le réseau comme potentiellement compromis : isolation des systèmes suspects, analyse forensique, chasse aux menaces actives (threat hunting).
• Mettre en place une surveillance spécifique des mouvements latéraux post-VPN : accès à Active Directory, déploiements PowerShell, accès massifs aux partages réseau.
• Planifier des tests de pénétration ciblés sur l'infrastructure GlobalProtect pour valider l'efficacité du patch et des contrôles compensatoires.