Une vulnérabilité affectant les portails et passerelles VPN GlobalProtect de Palo Alto Networks est activement exploitée par des cybercriminels pour pénétrer dans les réseaux d’entreprise. Référencée sous l’identifiant CVE-2026-0257, cette faille permet, dans certaines configurations de PAN-OS, de contourner les contrôles d’authentification et d’établir une connexion VPN non autorisée, y compris lorsque l’authentification multifacteur (MFA) fait partie du dispositif de sécurité.
Dans une mise à jour publiée le 19 octobre 2026, l’équipe de recherche Unit 42 de Palo Alto Networks indique que des opérateurs de rançongiciels, notamment associés à Qilin et Inc, exploitent cette vulnérabilité. Des signalements publics font également état d’activités liées au ransomware Settra.
Les investigations mettent en évidence une évolution particulièrement préoccupante : après avoir compromis l’accès VPN, certains attaquants ont progressé jusqu’à l’infrastructure de virtualisation VMware, où ils ont extrait des identifiants directement depuis le disque virtuel d’un contrôleur de domaine. Cette technique permet de contourner les mécanismes de détection exécutés à l’intérieur du système compromis.
Une vulnérabilité GlobalProtect qui permet de contourner l’authentification multifacteur
La faille CVE-2026-0257 affecte les composants GlobalProtect des équipements exécutant certaines versions de PAN-OS, ainsi que des déploiements Prisma Access concernés. Elle résulte d’une faiblesse dans la validation des cookies de substitution d’authentification, utilisés pour éviter aux utilisateurs de répéter certaines étapes de connexion.
Selon l’avis de sécurité officiel de Palo Alto Networks, la vulnérabilité présente un score CVSS 4.0 de 7,8 sur 10, correspondant à une gravité élevée. L’éditeur recommande néanmoins une intervention urgente compte tenu de son exploitation active.
La faille ne concerne pas automatiquement toutes les installations de GlobalProtect. Son exploitation dépend de conditions de configuration spécifiques, notamment de l’activation des cookies de substitution d’authentification et de l’utilisation d’une configuration de certificat vulnérable.
Comment les attaquants contournent-ils le MFA ?
Les cookies de substitution d’authentification permettent à une passerelle ou à un portail GlobalProtect de reconnaître un utilisateur déjà authentifié sans lui demander de reprendre l’intégralité du processus de connexion à chaque fois.
Le problème apparaît lorsque les mécanismes de validation de ces cookies et la configuration des certificats ne garantissent pas suffisamment leur authenticité.
Dans certaines configurations vulnérables, un attaquant peut exploiter cette faiblesse pour fabriquer un cookie accepté par l’équipement comme une preuve d’authentification valide. Il peut alors établir une connexion VPN sans disposer des identifiants légitimes de la victime ni effectuer le parcours MFA habituel.
L’analyse technique de Rapid7 consacrée à CVE-2026-0257 décrit les conditions de configuration associées à l’exploitation et les tentatives de connexion observées dans plusieurs environnements.
Ce mécanisme ne signifie pas que le MFA est généralement inefficace. Il montre plutôt qu’une faille dans la logique d’authentification d’un équipement exposé à Internet peut neutraliser une partie des protections situées en amont.
Quels produits et quelles versions sont concernés ?
La vulnérabilité concerne plusieurs branches de PAN-OS ainsi que certaines versions de Prisma Access. Les versions corrigées dépendent de la branche logicielle installée.
| Produit ou branche | Exemples de versions corrigées |
|---|---|
| PAN-OS 12.1 | 12.1.4-h6 ou 12.1.7 et versions ultérieures selon la branche |
| PAN-OS 11.2 | 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 ou 11.2.12 selon la version installée |
| PAN-OS 11.1 | Correctifs spécifiques jusqu’à la version 11.1.15 selon la branche |
| PAN-OS 10.2 | Correctifs spécifiques jusqu’à la version 10.2.18-h6 selon la branche |
| Prisma Access 11.2 | 11.2.7-h13 ou version ultérieure |
| Prisma Access 10.2 | 10.2.10-h36 ou version ultérieure |
Source : avis de sécurité officiel de Palo Alto Networks. Ce tableau présente des exemples de versions corrigées, pas une correspondance exhaustive pour chaque version mineure. Vérifiez la branche et le chemin de mise à niveau applicables dans l’avis officiel.
Les produits Panorama et Cloud NGFW ne sont pas concernés par cette vulnérabilité selon l’éditeur. Les versions antérieures qui ne sont plus prises en charge doivent faire l’objet d’une migration vers une version corrigée et supportée.
Des groupes de ransomware exploitent la faille pour pénétrer dans les réseaux d’entreprise
Dans sa mise à jour du 19 octobre, Unit 42 indique observer des tentatives d’exploitation attribuées à des opérateurs associés à Spikey Scorpius, également connu sous le nom de Qilin, et Tarnished Scorpius, associé à Inc. Le rapport mentionne également des publications attribuant des opérations à des acteurs utilisant le ransomware Settra.
Ces associations doivent être interprétées avec prudence : la présence d’une même vulnérabilité dans plusieurs campagnes ne suffit pas à démontrer que toutes les opérations proviennent d’un groupe unique.
Les enquêtes menées depuis juin 2026 concernent de nombreux secteurs, notamment la santé, l’éducation, les services financiers, l’industrie, les administrations publiques, les transports et l’énergie.
D’après Unit 42, une fois la connexion VPN établie, les attaquants peuvent procéder à plusieurs étapes :
- Explorer le réseau interne à l’aide d’outils légitimes de surveillance et d’administration à distance.
- Se déplacer latéralement entre les systèmes au moyen de protocoles comme RDP et SMB.
- Rechercher des comptes privilégiés et collecter des identifiants.
- Préparer l’exfiltration de données et le déploiement de rançongiciels.
Cette chaîne d’attaque illustre les conséquences d’une compromission du périmètre réseau : une faille initialement limitée à l’accès VPN peut devenir le point de départ d’une intrusion beaucoup plus large.
VMware ciblé : des identifiants extraits directement depuis un disque virtuel
L’un des éléments les plus préoccupants du rapport de Unit 42 concerne une intrusion dans laquelle les attaquants sont passés de la passerelle VPN compromise à l’appliance de gestion VMware vCenter.
Depuis cette infrastructure, ils ont désactivé le contrôle de sécurité execInstalledOnly sur des hyperviseurs ESXi, puis utilisé un outil personnalisé pour extraire hors ligne des identifiants depuis le disque virtuel VMDK d’un contrôleur de domaine.
Pourquoi cette technique contourne-t-elle certaines protections EDR ?
Un fichier VMDK représente un disque virtuel utilisé par une machine virtuelle VMware. Il contient les données persistantes du système d’exploitation, notamment des fichiers et des bases de données susceptibles de renfermer des informations sensibles.
Un contrôleur de domaine Active Directory joue un rôle central dans l’authentification des utilisateurs et des machines d’une organisation. La compromission de ses données peut donc avoir des conséquences importantes sur l’ensemble du domaine.
Habituellement, une solution EDR (Endpoint Detection and Response) surveille les activités suspectes depuis le système d’exploitation qu’elle protège : exécution de programmes, accès aux fichiers, modifications système et comportements anormaux.
Or, lorsqu’un attaquant accède à l’hyperviseur ou à la couche de gestion de la virtualisation, il peut potentiellement manipuler le disque virtuel depuis l’extérieur de la machine concernée. Cette méthode permet de lire des données sans exécuter directement l’outil de collecte à l’intérieur du système d’exploitation.
L’EDR installé sur la machine virtuelle peut alors ne pas disposer de la visibilité nécessaire pour détecter l’opération.
L’analyse de Unit 42 souligne ainsi une limite importante des stratégies de défense reposant principalement sur les agents installés dans les systèmes invités : la sécurité des hyperviseurs, des consoles de gestion et des sauvegardes doit être assurée indépendamment de celle des machines virtuelles.
Le rapport ne précise pas le nom de l’outil utilisé pour extraire les identifiants ni tous les détails techniques de son fonctionnement. Il serait donc prématuré d’affirmer que cette méthode a été utilisée dans toutes les attaques associées à CVE-2026-0257.
L’infrastructure de sauvegarde Veeam également dans le viseur
Unit 42 indique avoir observé des acteurs combinant la compromission initiale avec des outils ciblant les infrastructures de sauvegarde Veeam, notamment en lien avec la vulnérabilité CVE-2023-27532.
Cette faille distincte peut exposer des identifiants stockés dans la base de données de configuration de sauvegarde de certaines installations vulnérables. Selon la configuration et les accès obtenus, ces informations peuvent faciliter une progression vers les systèmes de sauvegarde.
La compromission de ces infrastructures représente un risque majeur pour les organisations victimes de rançongiciels. Les sauvegardes constituent souvent le principal moyen de restaurer les services après le chiffrement des données. Si les attaquants parviennent également à les compromettre ou à les rendre inaccessibles, la reprise d’activité peut devenir beaucoup plus difficile.
Les équipes de sécurité doivent donc examiner les systèmes de sauvegarde, appliquer les correctifs correspondant à leurs versions et protéger les comptes d’administration avec des droits strictement limités.
Comment détecter une exploitation de CVE-2026-0257 ?
Unit 42 recommande de rechercher dans les journaux GlobalProtect les connexions réussies provenant d’adresses IP suspectes, ainsi que les noms de machines et identifiants de clients associés aux activités observées.
Parmi les indicateurs publiés figurent les adresses suivantes :
104.207.144[.]154146.19.216[.]119146.19.216[.]120146.19.216[.]12523.128.228[.]6
D’autres indicateurs sont disponibles dans le rapport de Unit 42 sur l’exploitation active, qui recense également des noms d’hôtes et des adresses MAC observés au cours des investigations.
Ces indicateurs ne constituent pas une liste exhaustive. Une connexion malveillante peut provenir d’une infrastructure différente, et une adresse IP signalée peut changer de statut avec le temps.
Les événements de connexion réussie sont particulièrement importants
Les chercheurs ont constaté que de nombreuses tentatives d’exploitation ne débouchaient pas sur une session VPN complète. Les événements indiquant une connexion réussie, notamment ceux correspondant à gateway-connected, doivent donc être examinés avec attention.
Les équipes de réponse à incident devraient notamment :
- Rechercher les connexions inhabituelles dans les journaux des portails et passerelles GlobalProtect.
- Comparer les adresses IP, les noms d’hôtes, les adresses MAC et les informations de clients aux indicateurs publiés.
- Examiner les journaux d’authentification, les connexions administratives et les événements RDP et SMB.
- Contrôler les activités de vCenter et des hyperviseurs ESXi, notamment les modifications de configuration et les accès inhabituels aux disques virtuels.
- Vérifier les journaux Active Directory, les comptes privilégiés et les accès à l’infrastructure de sauvegarde.
Une connexion suspecte ne prouve pas à elle seule qu’un vol d’identifiants ou un déploiement de ransomware a eu lieu. Elle doit cependant déclencher une investigation adaptée au niveau de risque.
Quelles mesures appliquer pour protéger les réseaux d’entreprise ?
La première priorité est de corriger les équipements exposés à Internet. Les organisations doivent vérifier leurs versions de PAN-OS et de Prisma Access, puis appliquer le correctif correspondant à leur branche, conformément aux instructions de Palo Alto Networks.
Si la mise à niveau immédiate est impossible, l’éditeur recommande notamment de désactiver les cookies de substitution d’authentification lorsqu’ils ne sont pas indispensables, ou d’utiliser un certificat dédié exclusivement à cette fonction. Ces mesures temporaires doivent être appliquées en tenant compte des conséquences opérationnelles et des recommandations officielles.
Les entreprises devraient également :
- Sécuriser l’administration de VMware : limiter l’accès à vCenter et aux hyperviseurs, isoler les interfaces de gestion et protéger les comptes privilégiés.
- Renforcer la protection des identifiants : révoquer les secrets suspects, renouveler les identifiants compromis et examiner les comptes à privilèges.
- Protéger les sauvegardes : corriger les systèmes Veeam concernés, séparer les comptes d’administration et conserver des copies isolées ou immuables.
- Étendre la surveillance au-delà des machines virtuelles : centraliser les journaux des VPN, hyperviseurs, consoles de gestion et systèmes d’identité.
- Préparer la réponse à incident : définir les procédures d’isolement, de conservation des preuves et de restauration des services critiques.
L’ajout de contrôles MFA reste utile, mais ne suffit pas à neutraliser une vulnérabilité qui permet de contourner le mécanisme d’authentification lui-même.
Conclusion
L’exploitation de CVE-2026-0257 montre comment une faille d’authentification sur un VPN d’entreprise peut ouvrir la voie à une compromission beaucoup plus étendue. Les attaques documentées par Unit 42 associent l’accès initial via GlobalProtect à des activités de déplacement latéral, de vol d’identifiants et, dans certains cas, à des opérations visant directement la couche de virtualisation VMware.
La réponse ne doit donc pas se limiter à la mise à jour du VPN. Les organisations doivent également examiner leurs journaux, protéger les consoles de gestion, sécuriser les contrôleurs de domaine et renforcer leurs infrastructures de sauvegarde.
SOURCE : Cyber Security News
