Vulnerabilità · 1 giorno fa

Il VPN aziendale diventa la porta del ransomware

ReliaQuest ha confermato che Qilin e Settra stanno sfruttando attivamente CVE-2026-0257 contro PAN-OS GlobalProtect e Prisma Access di Palo Alto Networks. La falla apre sessioni VPN non autorizzate e trasforma il canale di accesso remoto dell’azienda in un punto d’ingresso che può sembrare un login legittimo.

Il problema non è solo l’accesso iniziale. Una sessione già aperta prima della correzione può restare valida, così l’attività dell’attaccante continua a passare per traffico VPN normale mentre vengono preparati movimento laterale, furto credenziali e ransomware. ReliaQuest ha osservato anche l’uso di Cobalt Strike, BloodHound e SharpHound.

Per chi gestisce GlobalProtect o Prisma Access, la storia dice che la patch da sola non chiude sempre il varco operativo. Se il foothold è stato già ottenuto, resta un’esposizione nel boundary di fiducia del remote access che richiede verifica forense oltre alla correzione.

CVE-2026-0257

NVD KEV

Sfruttamento noto · CISA KEV

EPSS 97% (100º percentile).

Data di correzione federale CISA 1 giu · data superata

Cronologia

12 ott Segnalato da Infosecurity Magazine
1 giu Scadenza federale CISA per CVE-2026-0257 superata
29 mag CVE-2026-0257 aggiunto al KEV CISA

Fonti

1 fonte che coprono questa storia

Infosecurity Magazine 12 ott
Old Palo Alto VPN Vulnerability Remains a Target for Ransomware Groups
ReliaQuest confirmed that the Qilin and Settra ransomware groups are actively exploiting a Palo Alto vulnerability patched in May

Entità

CVE-2026-0257
Qilin and Settra

Riepilogo fornitore: Palo Alto Networks

Part of the PlainSec briefing for 2026-10-13

Editions

Storie correlate

Vulnerabilità · 1 giorno faIl VPN aziendale diventa la porta del ransomwareReliaQuest ha confermato che Qilin e Settra stanno sfruttando attivamente CVE-2026-0257 contro PAN-OS GlobalProtect e Prisma Access di Palo Alto Networks. La falla apre sessioni VPN non autorizzate e trasforma il canale di accesso remoto dell’azienda in un punto d’ingresso che può sembrare un login legittimo.Il problema non è solo l’accesso iniziale. Una sessione già aperta prima della correzione può restare valida, così l’attività dell’attaccante continua a passare per traffico VPN normale mentre vengono preparati movimento laterale, furto credenziali e ransomware. ReliaQuest ha osservato anche l’uso di Cobalt Strike, BloodHound e SharpHound.Per chi gestisce GlobalProtect o Prisma Access, la storia dice che la patch da sola non chiude sempre il varco operativo. Se il foothold è stato già ottenuto, resta un’esposizione nel boundary di fiducia del remote access che richiede verifica forense oltre alla correzione.