Qilin trasforma GlobalProtect in un accesso VPN valido
Il problema non è più il bug sul perimetro, ma la fiducia che concede a chi lo supera. Se l’autenticazione viene aggirata e la sessione VPN nasce come legittima, l’attaccante entra nella rete interna da utente remoto autorizzato: il raggio d’azione non è il portale, è tutta la superficie raggiungibile da lì.
Arctic Wolf ha collegato CVE-2026-0257 a intrusioni Qilin osservate a giugno 2026 su PAN-OS GlobalProtect portal e gateway. Gli attaccanti hanno ottenuto sessioni SSL VPN senza credenziali, poi hanno raccolto credenziali, mosso lateralmente tramite condivisioni amministrative e cancellato i log prima di avviare il ransomware; in alcuni casi l’attività è arrivata fino alla doppia estorsione.
Per chi espone gateway o portal GlobalProtect, il punto non è solo applicare la patch: una compromissione riuscita può lasciare un foothold già valido dentro il perimetro, con accesso interno, pulizia delle tracce e spazio per l’esfiltrazione. Questo rende CVE-2026-0257 un varco di accesso, non un semplice difetto di autenticazione.