Kaj se je zgodilo
Palo Alto Networks je potrdil, da izsiljevalski skupini še naprej izkoriščata ranljivost CVE-2026-0257 v PAN-OS in Prisma Access, ki jo je podjetje popravilo maja 2026. Gre za ranljivost obida avtentikacije v portalu in prehodu GlobalProtect, ki napadalcem omogoča vzpostavitev nepooblaščene VPN povezave in s tem obid večfaktorske avtentikacije. Izpostavljenost zahteva vklopljene piškotke za preglasitev avtentikacije skupaj z ranljivo konfiguracijo potrdil.
Po navedbah Unit 42, objavljenih v posodobitvi grožnje 19. oktobra, so izkoriščanje povezali s skupino Spikey Scorpius (znano tudi kot Qilin) in Tarnished Scorpius (znano tudi kot Inc). Ločeno poročanje je izkoriščanje povezalo tudi z operaterji izsiljevalske kode Settra, a to navedbo velja obravnavati previdno, saj izvira iz enega vira. Preiskave, ki potekajo od zgodnjega junija, so po navedbah vira zajele zdravstvo, izobraževanje, finančne storitve, proizvodnjo, javni sektor in energetiko. V enem od preiskanih primerov so napadalci dosegli sisteme za upravljanje VMware in ukradli poverilnice neposredno z virtualnega diska domenskega krmilnika, s čimer so se izognili varnostnim orodjem, nameščenim znotraj virtualnega stroja.
CVE-2026-0257 ima oceno CVSS 4.0 7.8 (visoka resnost) po podatkih proizvajalca, NVD pa po lastni oceni CVSS 3.1 navaja 9,1 (kritično). Ranljivost je uvrščena v katalog CISA KEV, kar pomeni potrjeno aktivno izkoriščanje, EPSS ocena pa znaša 96,9 odstotka. Poleg te ranljivosti se omenja tudi starejša CVE-2023-27532 v komponenti Veeam Backup & Replication, ki napadalcem omogoča pridobitev šifriranih poverilnic, shranjenih v konfiguracijski podatkovni bazi, kar lahko vodi do dostopa do gostiteljev varnostnokopirne infrastrukture. Ta ranljivost ima oceno CVSS 3.1 7,5 (visoka resnost), prav tako je v katalogu CISA KEV, njena EPSS ocena pa je 81,3 odstotka.
Kaj to pomeni za slovenska in evropska podjetja
Organizacije, ki uporabljajo GlobalProtect za oddaljen dostop, so lahko izpostavljene obidu MFA, kar napadalcem omogoča vstop v omrežje brez dodatnega preverjanja identitete. Glede na širok nabor prizadetih sektorjev, naveden v poročilih, gre za grožnjo, ki ni omejena na posamezno panogo. Kombinacija z ranljivostjo v Veeam Backup & Replication je še posebej nevarna, saj lahko napadalcem omogoči dostop do varnostnih kopij, kar otežuje okrevanje po morebitnem napadu z izsiljevalsko kodo.
Priporočeni ukrepi
- Namestite popravke za PAN-OS in Prisma Access, ki odpravljajo CVE-2026-0257, saj je ranljivost v katalogu CISA KEV in ima visoko EPSS oceno.
- Preverite konfiguracijo GlobalProtect glede uporabe piškotkov za preglasitev avtentikacije in ranljivih nastavitev potrdil.
- Posodobite Veeam Backup & Replication na različice, ki odpravljajo CVE-2023-27532.
- Preglejte dnevnike VPN dostopa za sledi nepooblaščenih povezav, zlasti na sistemih za upravljanje VMware in domenskih krmilnikih.
- Uvedite dodatno spremljanje dostopa do varnostnokopirne infrastrukture, saj je lahko tarča kraje poverilnic.
Vprašanja in odgovori
Ali je ranljivost CVE-2026-0257 potrjeno aktivno izkoriščana? Da, uvrščena je v katalog CISA KEV, kar pomeni potrjen status aktivnega izkoriščanja, dodatno pa to potrjuje tudi poročilo Unit 42.
Kdo stoji za napadi? Po navedbah enega vira izkoriščanje pripisujejo skupinama Qilin in Inc, ločeno poročanje pa omenja tudi operaterje Settra. Gre za navedbe, ki jih velja obravnavati previdno.
Ali je ranljivost v Veeam Backup & Replication povezana z istim napadom? Viri obe ranljivosti omenjajo v kontekstu izsiljevalskih napadov, a gre za ločeni ranljivosti pri različnih proizvajalcih, vsaka s svojim statusom v katalogu CISA KEV.
Pogosta vprašanja
Ali je ranljivost CVE-2026-0257 potrjeno aktivno izkoriščana?
Da, uvrščena je v katalog CISA KEV, kar pomeni potrjen status aktivnega izkoriščanja, dodatno pa to potrjuje tudi poročilo Unit 42.
Kdo stoji za napadi?
Po navedbah enega vira izkoriščanje pripisujejo skupinama Qilin in Inc, ločeno poročanje pa omenja tudi operaterje Settra. Gre za navedbe, ki jih velja obravnavati previdno.
Ali je ranljivost v Veeam Backup & Replication povezana z istim napadom?
Viri obe ranljivosti omenjajo v kontekstu izsiljevalskih napadov, a gre za ločeni ranljivosti pri različnih proizvajalcih, vsaka s svojim statusom v katalogu CISA KEV.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- WP2Shell: verižna ranljivost v jedru WordPress omogoča prevzem administratorskih računov