Qilin exploite CVE-2026-0257 : GlobalProtect VPN comme porte d'entrée ransomware

Les faits

Arctic Wolf Labs a publié une analyse approfondie d'une série d'intrusions menées par des affiliés du groupe ransomware Qilin, exploitant CVE-2026-0257, un bypass d'authentification affectant les composants portail et passerelle de GlobalProtect dans PAN-OS de Palo Alto Networks. Ces attaques illustrent la rapidité avec laquelle les groupes ransomware industrialisent l'exploitation de failles VPN critiques pour pénétrer les réseaux d'entreprise.

CVE-2026-0257 est une vulnérabilité dans GlobalProtect qui permet à un attaquant distant non authentifié de contourner l'authentification et d'établir des sessions VPN légitimes sans credentials valides, lorsque les cookies de substitution d'authentification sont activés avec des configurations de certificats spécifiques. Le score CVSS est de 7.8. Palo Alto Networks a corrigé la faille le 13 mai 2026.

Rapid7 a observé les premières exploitations actives dès le 17 mai 2026, soit quatre jours seulement après la publication du patch. Cette fenêtre extrêmement courte entre correction et exploitation massive est caractéristique des failles VPN : les attaquants analysent en continu les bulletins de sécurité des éditeurs, développent ou achètent des exploits et les déploient immédiatement. Pour les équipes de sécurité, cela signifie que chaque patch VPN doit être appliqué dans les 24 à 72 heures suivant sa disponibilité.

Arctic Wolf Labs a investigué plusieurs intrusions de juin 2026 présentant le même schéma : exploitation de CVE-2026-0257 pour obtenir une session VPN apparemment légitime, permettant aux attaquants d'apparaître comme des utilisateurs authentifiés sur le réseau interne. Une fois à l'intérieur, les affiliés Qilin ont mené des phases de reconnaissance (cartographie Active Directory, identification des serveurs critiques), collecte de credentials (Mimikatz, extraction depuis les gestionnaires de mots de passe) et mouvement latéral avant la phase de monétisation.

Les tactiques post-exploitation ont varié significativement entre les intrusions documentées, suggérant plusieurs affiliés différents opérant sous le modèle Ransomware-as-a-Service (RaaS) de Qilin. Certaines intrusions ont privilégié une exécution rapide avec chiffrement direct. D'autres ont impliqué une reconnaissance approfondie sur plusieurs jours, une collecte massive de credentials et une exfiltration de données via Rclone configuré pour transférer vers des comptes MEGA contrôlés par les attaquants, avant le déploiement final du ransomware — opération classique de double extorsion.

Qilin (alias Agenda) est un groupe RaaS actif depuis 2022. Initialement développé en Go, le ransomware a été recodé en Rust pour améliorer ses capacités d'évasion des solutions de détection et ses performances sur différentes architectures. Le groupe cible principalement des secteurs critiques incluant la santé, l'éducation, l'industrie et les services publics. Son modèle économique repose sur la location du ransomware à des affiliés qui conservent entre 80% et 85% des rançons perçues.

L'usage de Rclone pour l'exfiltration est un marqueur technique clé des opérations Qilin documentées par Arctic Wolf. Rclone est un outil légitime de synchronisation de fichiers vers des services cloud, ce qui lui permet de passer sous les radars de nombreux outils de sécurité qui ne bloquent pas les transferts vers des services cloud légitimes comme MEGA. Les attaquants configurent Rclone avec des fichiers de configuration personnalisés pointant vers leurs propres comptes MEGA, puis exfiltrent systématiquement les répertoires les plus sensibles avant de lancer le chiffrement.

L'exploitation des failles VPN comme vecteur d'accès initial est devenue une tendance structurelle du paysage ransomware en 2026. Cisco ASA/FTD (CVE-2026-20349), Citrix NetScaler (CVE-2026-8452) et Palo Alto GlobalProtect ont tous été exploités dans des chaînes d'attaque ransomware cette année. Les périmètres VPN concentrent trois facteurs favorables aux attaquants : accès réseau large une fois à l'intérieur, légitimité apparente des sessions, et surveillance insuffisante par rapport à d'autres vecteurs. Arctic Wolf évalue avec une confiance modérée que l'exploitation de CVE-2026-0257 menant au déploiement de Qilin reste en cours.

Impact et exposition

Toutes les organisations utilisant PAN-OS avec GlobalProtect configuré en mode authentication override cookies et n'ayant pas appliqué le patch du 13 mai 2026 sont directement exposées. Les secteurs les plus ciblés par Qilin — santé, collectivités territoriales, industrie, éducation — doivent traiter ce risque comme prioritaire. Les organisations avec des instances GlobalProtect exposées sur internet sans MFA supplémentaire présentent le profil de risque le plus élevé.

Recommandations

• Patcher immédiatement PAN-OS vers la version corrigée disponible depuis le 13 mai 2026 — si ce n'est pas encore fait, traiter comme une urgence absolue
• Analyser les logs GlobalProtect depuis le 17 mai 2026 pour identifier toute session VPN avec des IP sources inhabituelles, des horaires anormaux ou des volumes de trafic internes excessifs
• Désactiver les authentication override cookies si non strictement nécessaires, ou revoir leur configuration de certificats
• Détecter l'usage de Rclone : surveiller les exécutables Rclone et les transferts sortants vers les domaines MEGA (*.mega.nz, *.mega.co.nz)
• Activer un MFA supplémentaire en amont de GlobalProtect pour ajouter une couche d'authentification que le bypass VPN seul ne peut pas contourner