Qilin ransomware cible les VPN Palo Alto via CVE-2026-0257

Comment Qilin transforme GlobalProtect en porte d'entrée ransomware

Depuis mai 2026, une faille critique dans le composant GlobalProtect de Palo Alto Networks alimente une vague d'attaques ransomware d'une efficacité redoutable. La vulnérabilité, référencée CVE-2026-0257, exploite un mécanisme de cookies de substitution d'authentification (authentication override cookies) présent dans le portail et la passerelle GlobalProtect. Lorsque ce mécanisme est activé conjointement à une configuration de certificats spécifique, un attaquant non authentifié peut établir une session VPN légitime sans fournir d'identifiants d'entreprise. Le score CVSS de 7.8 reflète le besoin d'une condition de configuration préalable, mais dans les faits, cette configuration est répandue dans les déploiements d'entreprise.

Palo Alto Networks a publié des correctifs le 13 mai 2026, accompagnés d'une mise en garde explicite : la vulnérabilité était déjà activement exploitée. Quatre jours plus tard, le 17 mai, la société de sécurité Rapid7 confirmait observer l'exploitation à grande échelle contre de nombreux clients, ce qui a poussé la CISA américaine à intégrer CVE-2026-0257 à son catalogue des vulnérabilités exploitées connues (KEV) dès le 29 mai, avec une injonction aux agences fédérales de sécuriser leur infrastructure GlobalProtect sous 72 heures.

La société Arctic Wolf Labs a publié un rapport détaillé, intitulé "Cookie Crumbles", reconstituant la chaîne d'attaque à partir de plusieurs incidents investigués en juin 2026. Ces incidents présentent un schéma cohérent : l'exploitation de CVE-2026-0257 sert systématiquement de vecteur d'accès initial, après quoi des affiliés du programme Qilin Ransomware-as-a-Service (RaaS) déploient leur arsenal post-exploitation avec une rapidité préoccupante.

La séquence documentée par Arctic Wolf suit plusieurs étapes caractéristiques. Une fois la session VPN établie frauduleusement, les attaquants procèdent à l'extraction des credentials : vidage du processus LSASS (Local Security Authority Subsystem Service) pour récupérer les hachages de mots de passe en mémoire, puis extraction du fichier NTDS.dit — la base de données Active Directory — pour obtenir l'ensemble des identifiants du domaine. Cette phase de credential harvesting à grande échelle constitue le socle de toute la progression latérale ultérieure.

Le déplacement latéral s'effectue ensuite via des outils légitimes de gestion à distance : PsExec pour l'exécution de commandes à distance sur d'autres machines et le protocole RDP (Remote Desktop Protocol) pour des sessions interactives. Les attaquants déploient également des outils de contrôle à distance commerciaux — AnyDesk, Ngrok et LogMeIn ont été observés — pour maintenir un accès persistant même en cas de détection partielle et de remédiation des vecteurs d'entrée initiaux.

L'exfiltration de données précède systématiquement le chiffrement dans les cas de double extorsion documentés. Les acteurs malveillants utilisent Rclone, un outil open source de synchronisation de fichiers, pour transférer les données vers des comptes de stockage cloud MEGA. Cette technique, bien rodée dans l'écosystème ransomware, permet de rendre crédible la menace de publication des données volées sur le site de fuite de Qilin si la rançon n'est pas acquittée.

Avant de déclencher le chiffrement, les attaquants effacent systématiquement les journaux d'événements Windows de l'ensemble des machines compromises, une étape d'anti-forensics destinée à ralentir l'investigation post-incident et à compliquer la reconstruction de la chronologie d'attaque. Le chiffrement s'étend ensuite à l'ensemble du domaine, ciblant serveurs de fichiers, sauvegardes accessibles depuis le réseau et postes de travail.

Arctic Wolf relève une variabilité notable entre affiliés Qilin : certains progressent directement vers le chiffrement avec un temps de résidence minimal, tandis que d'autres mènent une reconnaissance approfondie sur plusieurs jours avant de frapper. Cette hétérogénéité est caractéristique du modèle RaaS où des opérateurs aux compétences variables exploitent le même arsenal fourni par le groupe central. La société d'investigation évalue avec une confiance modérée que les intrusions liées à CVE-2026-0257 menant au ransomware Qilin sont toujours en cours, au vu de l'activité de scanning intensive observée sur les endpoints GlobalProtect exposés.

Les versions PAN-OS affectées incluent les branches 12.1, 11.2, 11.1 et 10.2 dans leurs builds antérieurs aux correctifs de mai 2026, ainsi que certaines versions de Prisma Access. La correction nécessite une mise à jour vers les builds spécifiques mentionnés dans l'advisory de Palo Alto Networks.

Pourquoi cette vague d'attaques révèle une tension structurelle dans la sécurité périmétrique

Le ciblage de GlobalProtect n'est pas anodin. Les solutions VPN et d'accès distant occupent une position stratégique unique dans l'architecture des entreprises : elles sont nécessairement exposées sur Internet, constituent le point d'entrée de milliers de collaborateurs et d'administrateurs, et sont souvent considérées comme des éléments de confiance du périmètre sécurisé. Cette combinaison en fait des cibles de première importance pour les groupes ransomware cherchant à maximiser leur efficacité d'intrusion.

Le délai entre la publication du patch (13 mai) et la détection des premières exploitations (17 mai) — soit quatre jours seulement — illustre une réalité que les équipes de sécurité doivent intégrer : la fenêtre de remédiation pour les vulnérabilités critiques dans les équipements exposés sur Internet se compte désormais en heures, pas en semaines. Les acteurs malveillants disposent de capacités d'ingénierie inverse et d'industrialisation de l'exploitation qui leur permettent d'agir avant même que la majorité des organisations aient planifié leur cycle de patching.

Le modèle Ransomware-as-a-Service de Qilin amplifie considérablement ce risque. En fournissant à des affiliés peu expérimentés un arsenal clés en main incluant le chiffrement, les outils d'exfiltration et l'infrastructure de négociation des rançons, Qilin démultiplie sa capacité d'attaque à un coût marginal. Chaque nouvelle vulnérabilité dans un équipement populaire devient immédiatement une opportunité commerciale pour des dizaines d'affiliés cherchant des cibles.

Pour les organisations françaises, cette situation soulève des questions de conformité directes. Les obligations NIS2 et DORA imposent des délais stricts de correction des vulnérabilités critiques pour les entités essentielles et les acteurs financiers. Une organisation utilisant GlobalProtect sans avoir appliqué le patch de mai 2026 s'expose non seulement au risque ransomware, mais potentiellement à des sanctions réglementaires en cas d'incident. L'ANSSI recommande depuis longtemps de traiter les équipements exposés sur Internet comme la priorité absolue de tout programme de patch management.

Ce qu'il faut retenir

• Appliquer immédiatement les builds corrigés PAN-OS publiés le 13 mai 2026 sur tous les équipements GlobalProtect exposés, portail comme passerelle.
• Examiner les journaux de connexion VPN depuis mi-mai pour détecter des sessions inhabituelles, notamment des authentifications sans MFA ou depuis des IP non répertoriées.
• En cas de suspicion de compromission : réinitialiser tous les mots de passe Active Directory, révoquer les tokens Kerberos (krbtgt double-reset) et isoler les segments réseau potentiellement atteints avant toute investigation forensic.