CVE-2026-0257 : Qilin cible PAN-OS GlobalProtect VPN

Les faits

Cinq mois après la publication du correctif, CVE-2026-0257 continue d'être massivement exploitée par des groupes ransomware. Palo Alto Networks avait divulgué cette vulnérabilité d'authentification dans les composants GlobalProtect Portal et Gateway de PAN-OS le 13 mai 2026. La CISA avait ajouté CVE-2026-0257 à son catalogue KEV le 29 mai 2026, avec une deadline de remédiation fixée au 1er juin pour les agences fédérales américaines. Malgré ces alertes répétées, des milliers d'organisations dans le monde n'ont toujours pas appliqué le patch — et les conséquences sont désormais sévères.

Les groupes Qilin et Settra ont été identifiés comme les principaux exploitants de CVE-2026-0257 dans des campagnes ransomware actives. Ces groupes exploitent la faille pour établir des sessions VPN non autorisées via GlobalProtect, contournant l'authentification multifacteur (MFA) et toutes les politiques de sécurité réseau habituelles. Une fois à l'intérieur du réseau via un tunnel VPN légitime, les attaquants se déplacent latéralement, exfiltrent des données, puis déploient le ransomware — le tout depuis ce qui apparaît comme une connexion VPN normale dans les logs.

Techniquement, CVE-2026-0257 exploite une faiblesse dans le mécanisme de validation des cookies de session GlobalProtect. Les pare-feux PAN-OS se reposent sur ces cookies pour authentifier les sessions VPN, mais ne procèdent pas à une validation rigoureuse de l'intégrité cryptographique du cookie. Un attaquant peut forger ou rejouer un cookie de session valide appartenant à un autre utilisateur pour s'authentifier et obtenir un accès VPN complet, sans connaître les identifiants de cet utilisateur ni son code MFA. L'attaque est réalisable depuis l'Internet public dès lors que le portail GlobalProtect est exposé.

Le CERT-FR a publié une alerte le 27 octobre 2026 concernant cette vulnérabilité, signalant des tentatives d'exploitation détectées sur des infrastructures rattachées à des organisations françaises. L'ANSSI a mentionné CVE-2026-0257 dans son bulletin CERTFR-2026-ACT-044 et recommande à toutes les organisations déployant PAN-OS ou Prisma Access de vérifier l'application des correctifs en urgence.

Le profil des victimes identifiées par les chercheurs illustre la portée de l'exploitation : des établissements de santé (hôpitaux, cliniques, laboratoires), des universités et établissements d'enseignement supérieur, des agences gouvernementales locales et nationales, et des entreprises du secteur énergétique. Ces organisations partagent souvent un point commun : elles utilisent GlobalProtect comme solution VPN principale pour leurs collaborateurs en télétravail, et leurs équipes IT ont reporté la mise à jour PAN-OS pour des raisons de compatibilité ou de fenêtres de maintenance.

Les analyses forensiques des incidents Qilin liés à CVE-2026-0257 montrent un pattern d'attaque cohérent : après avoir obtenu l'accès VPN via le bypass, l'attaquant établit des sessions persistantes, réalise une reconnaissance du réseau interne via des outils légitimes (living-off-the-land), puis exfiltre des données vers des serveurs de commande et contrôle avant le déploiement du chiffrement. Le délai moyen entre l'intrusion initiale et le déploiement du ransomware est estimé entre 3 et 14 jours selon les incidents documentés, laissant une fenêtre de détection si une surveillance comportementale appropriée est en place.

L'exploitation de CVE-2026-0257 s'inscrit dans une tendance plus large : les groupes ransomware professionnalisés ciblent systématiquement les équipements de bordure réseau (VPN, firewalls, load balancers) non patchés comme vecteur d'entrée initial. Cette stratégie est plus fiable que le phishing car elle ne dépend pas d'une interaction humaine et contourne les solutions de protection des endpoints (EDR). Selon un rapport de Recorded Future, 67 % des intrusions initiales d'origine ransomware en 2026 utilisent l'exploitation de vulnérabilités dans des équipements réseau exposés sur Internet.

L'exploitation continue de CVE-2026-0257 cinq mois après le patch soulève une question fondamentale : pourquoi autant d'organisations n'ont-elles pas appliqué un correctif dont la criticité était claire dès mai 2026 ? Les raisons avancées dans les post-mortems incluent la complexité de la mise à jour PAN-OS (fenêtre de maintenance planifiée, tests de régression), la pression opérationnelle sur les équipes réseau, l'absence d'inventaire précis des équipements exposés, et la confiance mal placée dans le MFA comme mesure compensatoire. CVE-2026-0257 contourne précisément le MFA.

Impact et exposition

Toute organisation déployant PAN-OS ou Prisma Access avec le composant GlobalProtect Portal ou Gateway exposé sur Internet sans avoir appliqué les correctifs de mai 2026 est activement ciblée. La faille ne nécessite aucune interaction humaine côté victime et contourne le MFA. Les secteurs les plus touchés sont la santé, l'éducation, l'énergie et les administrations publiques. La compromission réussie donne à l'attaquant un accès VPN légitime à l'ensemble du réseau interne de la victime.

Recommandations

• Vérification du patch : Vérifiez immédiatement que vous avez appliqué les correctifs PAN-OS publiés en mai 2026. Consultez l'advisory Palo Alto Networks pour les versions exactes corrigées selon votre branche.
• Audit des logs VPN : Inspectez vos logs GlobalProtect depuis le 1er juin 2026. Recherchez des sessions depuis des IP inhabituelles, des connexions à des heures atypiques, ou des utilisateurs se connectant depuis plusieurs localisations simultanément.
• Restriction d'accès au portail : Si la mise à jour ne peut pas être appliquée immédiatement, restreignez l'accès au portail GlobalProtect par whitelist IP ou désactivez temporairement l'accès externe.
• Activation UEBA : Déployez des analyses comportementales pour détecter les mouvements latéraux inhabituels après connexion VPN. L'attaquant se comportant comme un utilisateur légitime, la détection basée sur les signatures seules est insuffisante.
• Segmentation réseau : Révisez votre segmentation pour limiter ce qu'un utilisateur VPN peut atteindre. Le principe du moindre privilège doit s'appliquer aux accès VPN.