Déjà exploitée pour établir des connexions VPN frauduleuses, la faille CVE-2026-0257 sert désormais de point de départ à des attaques du ransomware Qilin.
Le scénario redouté se confirme pour les entreprises qui n’ont pas encore corrigé leurs équipements Palo Alto Networks. Lors des premières observations publiées, les attaques liées à CVE-2026-0257 semblaient principalement aboutir à l’établissement de connexions VPN non autorisées. Arctic Wolf rapporte désormais plusieurs intrusions au cours desquelles des attaquants ont exploité cette faille de GlobalProtect avant de dérober les identifiants de comptes administrateurs, de progresser dans le réseau et de déployer le ransomware Qilin à grande échelle.
Une même porte d’entrée, plusieurs scénarios d’attaque
Les incidents analysés par Arctic Wolf ont tous commencé par l’exploitation de CVE-2026-0257 sur des pare-feu Palo Alto Networks, une faille qui permet, dans certaines configurations, de contourner l’authentification de GlobalProtect et d’établir une session VPN sans identifiants valides.
Une fois dans le réseau, les attaquants ont extrait des identifiants de la mémoire de Windows, récupéré une copie de la base Active Directory et utilisé des comptes administrateurs compromis pour progresser d’une machine à l’autre, avant de copier et de lancer Qilin à distance avec PsExec, un outil légitime de Microsoft conçu pour exécuter des programmes sur d’autres postes du réseau.
À partir de ce scénario commun, les opérations ont toutefois pris des directions différentes : dans les attaques les plus rapides, les opérateurs sont passés directement au chiffrement, tandis que d’autres intrusions ont donné lieu au vol de données, au déploiement de plusieurs outils d’accès à distance et au ciblage des sauvegardes avant l’exécution du ransomware, dans une logique de double extorsion.
Une diversité qui renforce l’hypothèse de plusieurs affiliés exploitant la même faille et partageant une partie de leurs outils, mais conduisant ensuite leurs attaques selon leurs propres méthodes.
Patcher ne suffit pas toujours à chasser les attaquants
Nouvelle alerte, mêmes recommandations. Les entreprises qui utilisent une version vulnérable de PAN-OS doivent appliquer sans délai les correctifs publiés par Palo Alto Networks et s’assurer que leurs déploiements Prisma Access ont bien été mis à niveau, puis fermer toutes les sessions GlobalProtect actives afin d’invalider les connexions frauduleuses qui auraient pu être établies avant la mise à jour.
Cette précaution ne dispense pas de rechercher les traces d’une intrusion déjà engagée. Les équipes de sécurité doivent donc examiner les journaux VPN, en prêtant une attention particulière aux connexions provenant d’hébergeurs ou de machines dont le nom d’hôte est « kali », puis vérifier si l’activité s’est poursuivie à l’intérieur du réseau. D’après Arctic Wolf, la création d’exécutables dans C:\PerfLogs\, l’apparition de PSEXESVC.exe ou le déploiement inhabituel d’AnyDesk, Ngrok, LogMeIn et Rclone peuvent notamment révéler que les attaquants ont consolidé leur accès, progressé entre les machines ou commencé à voler des données.
En cas de suspicion d’exploitation de la faille, la meilleure chose à faire reste de renouveler les identifiants sensibles. En cas de confirmation, en revanche, l’organisation doit partir du principe que l’ensemble de son environnement Active Directory a pu être compromis, changer les mots de passe des comptes administrateurs et de service, puis réinitialiser à deux reprises celui du compte KRBTGT, dont les clés servent à sécuriser les tickets d’authentification Kerberos.
CVE-2026-0257 est une faille qui touche GlobalProtect, la solution d’accès distant intégrée à PAN-OS de Palo Alto Networks. Dans certaines configurations, elle permet de contourner l’authentification et d’établir une session VPN sans identifiants valides. L’attaquant peut alors accéder aux ressources internes autorisées par les règles appliquées à cette connexion, puis mener des opérations de reconnaissance, voler des identifiants et tenter de progresser dans le réseau. Le danger vient surtout du fait que l’accès emprunte le canal VPN habituellement réservé aux utilisateurs et utilisatrices légitimes, ce qui peut retarder sa détection si les journaux et les connexions inhabituelles ne sont pas surveillés.
Active Directory centralise les comptes, les groupes, les machines et les autorisations de nombreux environnements Windows d’entreprise. En récupérant une copie de sa base NTDS.dit, les attaquants peuvent obtenir les empreintes des mots de passe des comptes du domaine, tandis que l’extraction de données depuis la mémoire de Windows peut leur fournir d’autres éléments d’authentification immédiatement exploitables. Des comptes à privilèges compromis leur permettent ensuite de se déplacer entre les postes et les serveurs sans avoir à exploiter une nouvelle faille à chaque étape. Ils peuvent ainsi distribuer puis lancer le ransomware sur un grand nombre de machines en peu de temps.
PsExec est un outil d’administration de la suite Microsoft Sysinternals qui permet d’exécuter à distance des commandes ou des programmes sur des machines Windows. Il peut être utilisé légitimement par les équipes informatiques, mais aussi détourné par des attaquants disposant déjà d’identifiants administrateurs pour copier et lancer un ransomware sur plusieurs postes. Son exécution crée notamment le service PSEXESVC, dont la présence n’est pas malveillante en elle-même. Elle devient toutefois suspecte lorsque PsExec n’est pas utilisé dans l’organisation, qu’il apparaît sur de nombreuses machines en peu de temps ou qu’il est lancé depuis un compte, un poste ou à des horaires inhabituels.
