La novità non è un’altra CVE su un VPN: è che i gruppi ransomware stanno trattando gli appliance di frontiera come il punto d’ingresso più efficace per entrare in rete. Quando un auth bypass cade su un GlobalProtect esposto, il controllo del perimetro smette di essere un filtro e diventa una porta fiduciaria da attraversare senza credenziali.
Qilin sta già sfruttando CVE-2026-0257 contro Palo Alto GlobalProtect, con intrusioni osservate a giugno e sfruttamento avvenuto a pochi giorni dalla disclosure. Le stesse campagne si allargano a Fortinet FortiGate, Citrix NetScaler e Check Point Remote Access VPN, segno che il pattern non riguarda un singolo prodotto ma una classe di dispositivi esposti su Internet.
Il punto operativo cambia: patchare il singolo dispositivo non basta a leggere il rischio nel modo giusto, perché una volta caduto l’edge gli attaccanti lo usano come accesso interno attendibile per preparare il ransomware. Per chi gestisce VPN e firewall pubblici, il perimetro è ormai un obiettivo primario, non un semplice bersaglio occasionale.
Campaigns against flaws in security systems from Palo Alto, Fortinet, Citrix, and Check Point underscore a rising trend in how cybercriminals gain footholds in corporate networks.
Researchers pointed to fragmentation of the ransomware ecosystem, the emergence of new attackers, and expansion of attacks on less defended organizations.