Palo Alto GlobalProtect: Qilin e INC aggirano MFA e colpiscono le reti aziendali

🛡️ Executive Summary

• Unit 42 conferma che Qilin e INC ransomware continuano a sfruttare CVE-2026-0257, vulnerabilità di PAN-OS e Prisma Access corretta a maggio che permette accessi VPN non autorizzati.
• Gli aggressori utilizzano le connessioni GlobalProtect per aggirare i controlli MFA, muoversi nella rete attraverso RDP e SMB e raggiungere le infrastrutture di virtualizzazione.
• In un’intrusione documentata, gli operatori hanno compromesso VMware vCenter, disabilitato protezioni ESXi ed estratto credenziali dal disco virtuale di un domain controller, aggirando i controlli EDR interni.

Qilin e INC ransomware stanno sfruttando una vulnerabilità già corretta di Palo Alto Networks GlobalProtect per ottenere accessi non autorizzati alle reti aziendali, aggirare l’autenticazione multifattore e raggiungere infrastrutture critiche di virtualizzazione. La conferma arriva da Unit 42, che il 19 ottobre 2026 ha aggiornato la propria analisi sulla CVE-2026-0257, una falla di autenticazione presente in determinate configurazioni di PAN-OS e Prisma Access. La novità più significativa riguarda il comportamento successivo alla compromissione: gli aggressori non si limitano a ottenere una sessione VPN, ma in almeno un incidente hanno raggiunto VMware vCenter ed ESXi, sottraendo credenziali direttamente dai dischi virtuali dei domain controller. La tecnica consente di superare alcune protezioni installate nei sistemi operativi virtualizzati e amplia le conseguenze di una vulnerabilità corretta da diversi mesi.

GlobalProtect, la CVE-2026-0257 permette di entrare nelle VPN senza autenticazione

La vulnerabilità CVE-2026-0257, valutata con un punteggio CVSS 7,8 secondo lo standard 4.0, interessa i componenti portal e gateway di GlobalProtect quando sono abilitate le funzionalità di Authentication Override attraverso cookie e sono presenti specifiche configurazioni dei certificati. Il problema risiede nella gestione della validità e dell’integrità dei cookie di autenticazione, che possono essere sfruttati per stabilire una sessione VPN senza superare i normali controlli di accesso. Il bypass MFA non significa che tutti i sistemi di autenticazione multifattore Palo Alto siano vulnerabili, ma che un cookie accettato impropriamente può consentire una connessione considerata già autenticata, rendendo inefficace la verifica aggiuntiva in quella specifica sessione. Nell’advisory ufficiale di Palo Alto Networks vengono indicate le configurazioni interessate e le versioni corrette, pubblicate a partire da maggio 2026. La vulnerabilità era stata inserita nel catalogo Known Exploited Vulnerabilities della CISA dopo l’identificazione di tentativi di sfruttamento attivo. La situazione costituisce quindi un’evoluzione rispetto al primo allarme su GlobalProtect e sull’inserimento della CVE-2026-0257 nel KEV: la falla non è nuova, ma continua a essere utilizzata contro organizzazioni che non hanno installato le correzioni o applicato mitigazioni efficaci.

Leggi anche: Qilin sfrutta PAN-OS mentre Zimbra corregge nove falle e l’AI accelera gli N-day

Qilin e INC sfruttano GlobalProtect per preparare il ransomware

Nel rapporto aggiornato da Unit 42 il 19 ottobre vengono identificati gli operatori Spikey Scorpius, associati a Qilin, e Tarnished Scorpius, collegati a INC ransomware, tra i gruppi che continuano a tentare lo sfruttamento della vulnerabilità. La stessa ricerca segnala precedenti pubblicazioni che collegano l’exploit anche a operatori del ransomware Settra, distinguendo però questa attribuzione dalle osservazioni dirette del team. Le indagini di Palo Alto Networks, avviate all’inizio di giugno, interessano organizzazioni appartenenti a numerosi settori, tra cui sanità, istruzione, finanza, manifattura, pubblica amministrazione, energia, trasporti, servizi professionali e grande distribuzione. Dopo l’accesso iniziale, gli aggressori utilizzano strumenti legittimi di Remote Monitoring and Management per eseguire ricognizioni interne, individuare sistemi raggiungibili e preparare ulteriori attività ostili. Il movimento laterale avviene soprattutto attraverso RDP e SMB, mentre vengono distribuiti strumenti per acquisire credenziali, sottrarre dati e predisporre l’esecuzione del ransomware. L’impiego della CVE da parte di Qilin era stato già documentato durante l’estate; il nuovo elemento riguarda la conferma delle attività di INC e l’evoluzione delle tecniche successive alla compromissione. Il comportamento richiama le precedenti operazioni di INC ransomware attraverso vulnerabilità zero-day negli apparati SonicWall SMA, dimostrando come gruppi differenti possano utilizzare vulnerabilità dei dispositivi perimetrali per raggiungere lo stesso obiettivo: compromettere le identità e ottenere controllo sulle infrastrutture interne.

Da GlobalProtect a VMware vCenter: gli aggressori aggirano gli EDR dai dischi VMDK

L’aspetto tecnico più rilevante della nuova indagine riguarda un’intrusione nella quale gli aggressori sono passati dal gateway VPN compromesso all’infrastruttura VMware vCenter, raggiungendo successivamente gli hypervisor ESXi. Una volta ottenuto l’accesso alla piattaforma di virtualizzazione, gli operatori hanno disabilitato il controllo execInstalledOnly, utilizzato per limitare l’esecuzione di software non autorizzato sull’hypervisor, e impiegato uno strumento personalizzato per analizzare offline il disco virtuale VMDK di un domain controller. L’obiettivo era recuperare informazioni di autenticazione direttamente dal contenuto del disco, senza eseguire necessariamente gli strumenti di credential dumping all’interno del sistema operativo Windows virtualizzato. La differenza rispetto a un attacco tradizionale è sostanziale: un EDR installato nella macchina virtuale può monitorare i processi Windows, ma non dispone automaticamente della visibilità sulle operazioni effettuate dall’esterno attraverso l’hypervisor o lo storage sottostante. Gli aggressori possono così ottenere credenziali di dominio utilizzando una superficie di attacco diversa da quella normalmente controllata dai sistemi di protezione endpoint. Unit 42 non attribuisce pubblicamente questa specifica sequenza a uno solo dei gruppi identificati e non chiarisce quante organizzazioni abbiano subito la medesima tecnica. Il caso si inserisce nell’evoluzione degli attacchi ransomware contro VMware vCenter e le infrastrutture di virtualizzazione, dove il controllo del livello amministrativo può rendere insufficienti le difese delle singole macchine virtuali.

Veeam sotto osservazione: la catena d’attacco raggiunge anche i backup

Le indagini documentano inoltre tentativi di concatenare l’accesso ottenuto attraverso GlobalProtect con ulteriori strumenti di exploit destinati alle infrastrutture di backup. In particolare, Unit 42 cita attività rivolte contro Veeam Backup & Replication, attraverso l’utilizzo di tecniche associate alla CVE-2023-27532, vulnerabilità precedentemente corretta che può consentire l’accesso non autorizzato a credenziali conservate dal servizio. Il coinvolgimento di Veeam non implica automaticamente che ogni attacco Qilin o INC sfrutti questa specifica falla, ma dimostra l’interesse degli operatori nel raggiungere sistemi capaci di compromettere la continuità operativa delle organizzazioni. Controllare un server di backup può consentire di sottrarre credenziali, ostacolare il ripristino dei dati o preparare un’estorsione più efficace, soprattutto quando i sistemi di protezione sono collegati alla stessa infrastruttura di identità dell’ambiente di produzione. Lo scenario conferma una tendenza già osservata nelle campagne ransomware contro Veeam che combinavano exploit, persistenza e strumenti di amministrazione. Il nodo strategico è che la violazione di un servizio VPN non rimane necessariamente confinata al perimetro di accesso remoto: quando vengono raggiunti hypervisor, domain controller e repository di backup, un singolo punto d’ingresso può trasformarsi in un incidente che coinvolge autenticazione, disponibilità dei sistemi e capacità di ripristino dell’intera organizzazione.

Continua con:

Cisco FMC sotto attacco: Cyclops Blink e Qilin sfruttano falle, AWS corregge MCP

Ascesa globale di INC ransomware e il super tool Gentlemen che spegne gli antivirus aziendali

Palo Alto, quali patch installare e cosa controllare dopo una possibile intrusione

Gli amministratori devono verificare immediatamente la versione PAN-OS e la presenza delle configurazioni di Authentication Override vulnerabili, aggiornando tutti i portal e gateway GlobalProtect coinvolti. Tra le release corrette figurano PAN-OS 12.1.7, 11.2.12 e 11.1.15, mentre per i rami 10.2 e le versioni hotfix intermedie è necessario utilizzare la matrice ufficiale del produttore; Prisma Access richiede analogamente build corrette specifiche. L’advisory precisa che Panorama e Cloud NGFW non risultano interessati dalla CVE-2026-0257. In attesa dell’aggiornamento, Palo Alto Networks indica come mitigazioni la disabilitazione dell’Authentication Override oppure l’utilizzo di un certificato nuovo, dedicato esclusivamente ai relativi cookie e non condiviso con altri servizi. Dopo l’installazione della patch, gli utenti GlobalProtect devono autenticarsi nuovamente perché cambia il meccanismo di protezione dei cookie. La sola installazione dell’aggiornamento, però, non garantisce la bonifica di un ambiente già compromesso. È necessario esaminare i log GlobalProtect alla ricerca di connessioni riuscite sospette, verificare gli accessi a vCenter ed ESXi, controllare eventuali modifiche ai sistemi di protezione dell’hypervisor e accertare l’integrità dei backup e delle credenziali privilegiate. Per le aziende italiane che utilizzano Palo Alto Networks nei propri collegamenti remoti, la priorità è distinguere tra un dispositivo ancora vulnerabile e una rete nella quale gli aggressori potrebbero avere già ottenuto accesso persistente. Il caso Qilin e INC dimostra che la compromissione di una VPN può diventare il primo passaggio verso il controllo dell’intera infrastruttura virtualizzata, aggirando proprio quelle protezioni endpoint sulle quali molte organizzazioni concentrano la propria sicurezza.