En bref

  • CVE-2026-0257 : faille dans Palo Alto PAN-OS GlobalProtect permettant de créer des sessions VPN sans credentials valides par falsification de cookies d'authentification, CVSS 7.8
  • Exploitation active par Qilin et Settra ransomware depuis juin 2026 pour accès initial suivi d'un chiffrement de domaine complet en moins de 4 heures
  • Action requise : appliquer le patch PAN-OS disponible depuis le 13 mai 2026 — 172 000 instances encore exposées sur Internet en octobre 2026

Les faits

Palo Alto Networks a divulgué le 13 mai 2026 une vulnérabilité dans PAN-OS GlobalProtect et Prisma Access, référencée CVE-2026-0257 et notée CVSS 7.8 (haute sévérité). La faille permet à un attaquant sans identifiants valides de bypasser entièrement l'authentification VPN et d'établir une session GlobalProtect apparaissant légitime dans les logs. Depuis juin 2026, les groupes de ransomware Qilin et Settra exploitent activement cette vulnérabilité pour réaliser des accès initiaux dans des organisations à travers le monde, avec dans plusieurs cas documentés un déploiement de ransomware à l'échelle du domaine Active Directory dans les heures suivant la compromission.

Sur le plan technique, CVE-2026-0257 exploite une défaillance de la frontière de confiance cryptographique dans le mécanisme de cookies d'authentification de GlobalProtect. Pour éviter de demander à l'utilisateur de s'authentifier à chaque connexion VPN, GlobalProtect utilise des cookies chiffrés que le client présente pour prouver une authentification antérieure valide. La vulnérabilité provient du fait que certains déploiements PAN-OS réutilisaient le même certificat X.509 pour chiffrer ces cookies et pour d'autres fonctions HTTPS. Cette réutilisation permettait à un attaquant d'utiliser la clé publique du certificat — accessible via HTTPS — pour forger des cookies d'authentification valides pour n'importe quel utilisateur du système, contournant entièrement le contrôle d'identité.

Les chercheurs d'Arctic Wolf ont investigué en juin 2026 plusieurs intrusions aboutissant à un déploiement de ransomware Qilin à l'échelle du domaine Active Directory. Dans tous les cas documentés, le vecteur d'entrée initial était une session GlobalProtect illégitime créée via CVE-2026-0257. Post-exploitation, les attaquants ont suivi une méthodologie structurée : énumération Active Directory, collecte de credentials via Kerberoasting, élévation de privilèges vers les comptes administrateurs de domaine, puis déploiement du ransomware via des GPO ou scripts PowerShell. Plusieurs incidents se sont conclus par un chiffrement complet des systèmes du domaine en moins de quatre heures après l'accès initial via le VPN.

Qilin est un groupe ransomware-as-a-service (RaaS) actif depuis 2022, connu pour sa capacité à cibler aussi bien les environnements Windows que VMware ESXi. En 2026, Qilin a significativement élargi sa base d'affiliés et a été impliqué dans des attaques contre des hôpitaux britanniques, des infrastructures critiques et des cabinets juridiques. L'exploitation de CVE-2026-0257 s'inscrit dans la stratégie de Qilin : cibler des vecteurs d'accès initial à grande échelle, notamment les VPN d'entreprise, pour maximiser le nombre d'organisations compromises par ses affiliés.

Settra, un groupe distinct de Qilin, a également été identifié comme exploitant CVE-2026-0257 selon les données de threat intelligence publiées par plusieurs entreprises de sécurité. Settra est connu pour cibler préférentiellement les secteurs industriels et la logistique en Europe, avec des demandes de rançon atteignant plusieurs millions d'euros dans des cas documentés.

L'ampleur de l'exposition est préoccupante. Au moment de la divulgation en mai 2026, Shodan et Censys recensaient entre 167 000 et 172 000 instances GlobalProtect accessibles sur Internet. En octobre 2026, cinq mois après la publication du patch, des dizaines de milliers d'instances non patchées restent accessibles. Beaucoup d'organisations hésitent à imposer des fenêtres de maintenance non planifiées sur leurs concentrateurs VPN de production, créant un gap de sécurité persistant que les groupes de ransomware exploitent de façon industrialisée.

Les versions PAN-OS affectées couvrent les branches 11.x, 10.x et 9.x antérieures aux versions correctives publiées le 13 mai 2026. Palo Alto Networks a également publié un patch pour Prisma Access. Les organisations ayant déployé GlobalProtect on-premises et n'ayant pas mis à jour depuis mai 2026 sont exposées à une exploitation active par des groupes professionnels.

La particulière dangerosité de CVE-2026-0257 tient à l'invisibilité de son exploitation : une session VPN créée par un attaquant via des cookies forgés est indiscernable d'une connexion légitime dans les logs standards de GlobalProtect. L'attaquant apparaît comme un utilisateur authentifié, avec une adresse IP du pool VPN interne et un accès réseau complet aux ressources internes. Un SOC sans détection comportementale post-authentification peut rater l'intrusion pendant plusieurs heures — le temps pour Qilin de compromettre le domaine AD entier.

Impact et exposition

Les organisations utilisant PAN-OS GlobalProtect non patché sont exposées à un accès initial indétectable par les contrôles d'authentification standards. La combinaison accès VPN légitime + réseau interne non segmenté crée les conditions d'un déploiement de ransomware à grande échelle en quelques heures. Les secteurs les plus touchés selon les investigations Arctic Wolf : industrie manufacturière, services professionnels, santé, collectivités. En France, la pénétration de Palo Alto GlobalProtect dans les grandes entreprises et les OIV est significative.

Recommandations

  • Appliquer le patch PAN-OS immédiatement si ce n'est pas encore fait depuis mai 2026 — chaque jour de retard représente un risque de chiffrement de domaine complet
  • Vérifier les logs GlobalProtect des 5 derniers mois pour détecter des connexions VPN anormales (géolocalisation inhabituelle, user-agents inconnus, sessions multiples simultanées)
  • Activer le MFA obligatoire sur GlobalProtect — même si CVE-2026-0257 bypass les cookies d'auth, un MFA correctement configuré ajoute une couche que les cookies forgés ne peuvent pas contourner seuls
  • Segmenter les accès post-VPN : les utilisateurs VPN ne doivent accéder qu'aux ressources strictement nécessaires, pas à l'ensemble du réseau interne
  • Déployer une détection comportementale post-authentification : corréler les sessions VPN avec les comportements réseau (énumération AD, Kerberoasting, créations de GPO) pour détecter les intrusions avant le déploiement du ransomware

Alerte critique

Si votre GlobalProtect n'est pas patché depuis mai 2026, traitez votre réseau interne comme potentiellement compromis. Recherchez des indicateurs Qilin/Settra dans vos logs AD, SIEM et endpoints. Les incidents documentés montrent un chiffrement complet du domaine en moins de 4 heures après l'accès initial via cette CVE. Agissez immédiatement.

Comment détecter si CVE-2026-0257 a déjà été utilisée contre mon infrastructure ?

Cherchez dans vos logs GlobalProtect des sessions avec des user-agents non standards, des connexions depuis des plages IP inconnues ou des pays inhabituels pour vos utilisateurs, et des sessions hors des horaires normaux. Dans Active Directory, vérifiez la présence de Kerberoasting (nombreuses demandes TGS en peu de temps), de créations de GPO inhabituelles (Event ID 4698), et d'élévations de privilèges inattendues. Un SIEM corrélant ces signaux faibles peut détecter l'intrusion avant le déploiement du ransomware si les règles sont correctement configurées.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit