Qilin ransomware : 643 organisations touchées en octobre 2026, CVE-2026-0257 Palo Alto dans le viseur

Les faits

Le mois d'octobre 2026 confirme la tendance d'une industrialisation sans précédent des attaques par ransomware. D'après les données agrégées par la plateforme BreachSense et le tracker Ransomware.live, 643 organisations ont été victimes de ransomware ou de vol de données publiquement revendiqué entre le 1er et le 23 octobre 2026. Ce chiffre, en hausse de 18 % par rapport à la même période en 2025, illustre l'efficacité croissante des modèles Ransomware-as-a-Service (RaaS) qui permettent à des affiliés peu qualifiés d'accéder à des infrastructures d'attaque sophistiquées.

Parmi les groupes actifs ce mois-ci, Qilin (également connu sous le nom Agenda Ransomware) se distingue par son rythme de revendications et la diversité de ses cibles. Apparu en 2022, Qilin opère un modèle RaaS sur Dark Web qui recrute des affiliés via des forums en langue russe. Le groupe utilise un encrypteur cross-platform développé en Go, capable de chiffrer des systèmes Windows, Linux et ESXi VMware, ce qui en fait une menace particulièrement redoutable pour les environnements mixtes et les hébergeurs cloud.

Parmi les victimes Qilin identifiées en octobre 2026 : Aryza, une entreprise technologique basée en Argentine, dont la compromission a été découverte et revendiquée le 23 octobre 2026 sur le site de fuite Qilin. Une capture d'écran partielle des données volées a été publiée, mais le montant de la rançon et le volume de données exfiltrées n'ont pas été divulgués. Wilbert's et 3f, deux autres organisations dans des secteurs non précisés, ont également été ajoutées au site de fuite Qilin au cours du même mois, selon les données de CyberThreatIntelligence.net.

L'élément le plus préoccupant de la vague ransomware d'octobre 2026 concerne l'exploitation active de CVE-2026-0257, une vulnérabilité dans Palo Alto Networks GlobalProtect VPN. Cette faille avait été patchée par Palo Alto Networks le 13 mai 2026 — soit plus de cinq mois avant la publication de l'alerte Unit 42. Le 19 octobre 2026, l'équipe Unit 42 de Palo Alto Networks a nommé deux groupes ransomware qui exploitent activement cette vulnérabilité pour obtenir un accès initial aux réseaux d'entreprises. L'identité précise des deux groupes n'a pas été divulguée publiquement, mais Qilin figure parmi les suspects selon plusieurs sources de threat intelligence (source : tech-insider.org, Arctic Wolf).

CVE-2026-0257 est une vulnérabilité dans le portail GlobalProtect de Palo Alto Networks. Son score CVSS et ses détails techniques complets n'ont pas été intégralement publiés pour limiter la fenêtre d'exploitation, mais son utilisation comme vecteur d'accès initial par des groupes ransomware professionnels indique qu'elle permet soit une authentification contournée, soit une exécution de code dans la DMZ des organisations. Le fait que cette vulnérabilité soit encore exploitée cinq mois après la disponibilité du patch illustre un problème structurel : les équipements réseau (firewalls, VPN) bénéficient souvent d'un cycle de patch beaucoup plus lent que les serveurs applicatifs, en raison des craintes de coupure réseau lors des opérations de maintenance.

Le groupe Qilin a également fait parler de lui en juin 2026 : la société Arctic Wolf avait alors documenté plusieurs intrusions se terminant par un déploiement de Qilin ransomware. Le mode opératoire documenté comprend l'exploitation d'accès VPN non sécurisés ou insuffisamment patchés comme point d'entrée, suivie d'un déplacement latéral via des outils de gestion légitimes (Living off the Land Binaries — LoLBins), d'une phase d'exfiltration de données, et enfin du chiffrement des systèmes. Le temps moyen entre l'accès initial et le chiffrement était estimé à 4,2 jours dans les intrusions documentées par Arctic Wolf, ce qui laisse une fenêtre de détection très étroite pour les équipes SOC.

Par ailleurs, le 20 octobre 2026, le groupe Brüninghoff Group en Allemagne a subi une attaque ransomware par le groupe Payload, et Kirkland & Ellis LLP, un cabinet d'avocats américain d'envergure internationale, a été compromis par le groupe leakeddata le 22 octobre 2026. Ces incidents consécutifs sur un cabinet juridique illustrent une tendance documentée : les cabinets d'avocats sont devenus des cibles prioritaires pour les groupes ransomware en raison de la valeur extrême des données qu'ils détiennent (informations clients, dossiers de fusion-acquisition, litiges confidentiels) et de leur maturité cybersécurité souvent plus faible que celle des grandes entreprises industrielles.

Dans ce contexte, la directive NIS2, entrée en application en octobre 2024, impose désormais aux entités essentielles et importantes en Europe des obligations de déclaration d'incident sous 24 heures et de notification aux autorités compétentes. Les organisations victimes de ransomware en 2026 qui n'ont pas mis en place ces procédures s'exposent à une double peine : l'incident lui-même et les sanctions réglementaires associées.

Impact et exposition

CVE-2026-0257 affecte potentiellement toutes les organisations utilisant Palo Alto GlobalProtect VPN avec des versions antérieures au patch de mai 2026. Les cabinets d'avocats, PME et organisations sans équipe SOC dédiée sont particulièrement exposés. La hausse de 18 % des incidents en octobre 2026 par rapport à 2025 concerne tous les secteurs, avec une surreprésentation dans les secteurs technologie, santé et services professionnels.

Recommandations

• Vérifier immédiatement la version de Palo Alto GlobalProtect déployée — si antérieure au patch CVE-2026-0257 de mai 2026, considérer l'équipement comme potentiellement compromis et déclencher une investigation forensique.
• Activer les logs d'accès VPN et rechercher des connexions inhabituelles (horaires atypiques, géolocalisations anormales, comptes de service jamais utilisés pour des connexions VPN).
• Mettre en place une politique de segmentation réseau post-VPN pour limiter la propagation latérale en cas d'intrusion : un accès VPN compromis ne doit pas permettre d'atteindre directement les serveurs de sauvegarde ni les contrôleurs de domaine.
• Tester et valider les sauvegardes offline. La règle 3-2-1 reste la protection la plus efficace contre le ransomware : 3 copies, 2 médias différents, 1 copie hors ligne et hors réseau.