Un certificat partagé est ce qui laisse entrer Qilin

Dix semaines entre l'avis et le rançongiciel

Palo Alto Networks a publié son avis relatif à CVE-2026-0257 le 13 mai 2026 et l'a révisé pour la dernière fois le 3 juin. Le texte est mesuré. Il classe le problème comme élevé avec un CVSS de 7,8, place l'urgence à son niveau maximal et indique que l'entreprise a eu connaissance de tentatives d'exploitation limitées sur des équipements PAN-OS non corrigés et dépourvus de mesures palliatives.

Le reste du calendrier s'est rempli autour. Rapid7 a signalé avoir observé une exploitation dans des environnements clients dès le 17 mai. La CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées le 29 mai, ce qui, au titre de la directive opérationnelle contraignante, a laissé trois jours aux agences fédérales pour y remédier. Puis, en juin, Arctic Wolf Labs a enquêté sur plusieurs intrusions où cette vulnérabilité constituait le vecteur d'accès initial et le rançongiciel Qilin l'aboutissement.

Dix semaines séparent un avis mesuré d'un chiffrement qui lui est rattaché. Rien dans cette séquence n'est inhabituel. Ce qui rend ce cas digne d'une heure de votre semaine, c'est qu'ici la question de l'exposition n'est pas celle à laquelle votre outillage est prêt à répondre.

La faille réside dans une configuration, pas dans une version

CVE-2026-0257 est un contournement d'authentification dans le portail et la passerelle GlobalProtect. Il permet à un attaquant distant non authentifié de contourner l'authentification et d'établir une session VPN sans identifiants valides. Voilà le titre, et pris isolément ce serait un point de correctif ordinaire.

C'est la condition préalable qui change tout. Le contournement d'authentification est une fonction non activée par défaut: elle permet à un portail ou à une passerelle d'émettre un cookie de session pour que les utilisateurs ne se réauthentifient pas à chaque connexion, à la manière d'un jeton au porteur. La vulnérabilité ne devient exploitable que si le certificat servant à chiffrer et déchiffrer ces cookies sert aussi à autre chose, par exemple au service HTTPS du portail ou de la passerelle. Un certificat, deux fonctions, et le contournement existe.

Voyez ce que cela fait à votre inventaire. Les versions concernées traversent PAN-OS 12.1, 11.2, 11.1 et 10.2, avec des versions corrigées dans chaque branche, plus Prisma Access de 10.2 à 11.2.7-h12. Cloud NGFW n'est pas concerné. Mais un équipement en version concernée avec le contournement désactivé n'est pas exposé, et un équipement doté d'un certificat dédié ne l'est pas davantage. Votre système de gestion des actifs connaît la version. Il ne sait presque certainement pas à quoi le certificat est rattaché. La question à laquelle vous pouvez répondre vite et celle qui détermine votre risque sont donc deux questions distinctes.

À quoi ressemblaient les intrusions de juin vues de l'intérieur

Arctic Wolf Labs décrit une forme connue exécutée avec compétence. Après avoir établi une session VPN sans identifiants, les opérateurs ont vidé LSASS et extrait NTDS pour récolter des identifiants, puis se sont déplacés latéralement au moyen de PsExec et des partages administratifs Windows. Dans les cas de double extorsion, les données sont sorties via Rclone vers MEGA avant tout chiffrement.

Deux détails opérationnels méritent d'être relevés. Le rançongiciel a été préparé dans C:\PerfLogs\, un répertoire que les chercheurs signalent comme rarement surveillé par les outils d'intégrité de fichiers. Et les opérateurs ont effacé les journaux d'événements Windows à l'échelle de l'entreprise au moyen de PowerShell. La durée de présence a varié: certains cas ont mené une reconnaissance étendue au préalable, d'autres sont passés rapidement de l'accès au chiffrement généralisé.

L'effacement des journaux est la partie qui impose un choix de planification. Si votre reconstitution de l'incident dépend des journaux d'événements Windows locaux, cet acteur supprime votre reconstitution comme une étape de routine, pas comme une fioriture. Renvoyer ces journaux hors de la machine, vers un endroit que les mêmes identifiants n'atteignent pas, n'est pas une amélioration de la réponse à incident. C'est la différence entre disposer d'une investigation et disposer d'une hypothèse.

Tentatives d'exploitation limitées était exact et inutilisable

Confrontez la phrase de l'éditeur au résultat. Le 3 juin, Palo Alto Networks avait eu connaissance de tentatives d'exploitation limitées. Fin juin, Arctic Wolf reconstituait des intrusions par rançongiciel qui débutaient par la même faille. Les deux affirmations sont vraies, et la première n'allait jamais vous avertir de la seconde.

La raison est structurelle et n'a rien à voir avec cet éditeur. Un avis d'éditeur rapporte ce que l'éditeur peut voir: les cas parvenus à son support, la télémétrie des clients qui la partagent, les incidents qui lui sont divulgués. C'est un signal réel sur la visibilité de l'éditeur. Ce n'est pas une mesure du nombre d'attaquants détenant la technique, et cela ne peut pas l'être, car l'écart entre tentatives limitées et exploitation banalisée se comble quand un exploit fonctionnel change de mains, non par quoi que ce soit que fasse l'éditeur.

La traduction pratique est une habitude, pas un outil. Lisez le vocabulaire de gravité comme la description de ce qui a été observé jusqu'ici, et lisez la condition préalable comme la description de votre propre exposition. Ici, la condition préalable est un rattachement de certificat que vous pouvez vérifier aujourd'hui, et elle restera vraie dans un mois, quand le vocabulaire sur l'exploitation aura changé.

La vérification qui prend un après-midi

Commencez par la configuration plutôt que par la mise à niveau, car la mesure palliative proposée par Palo Alto Networks ne demande aucune fenêtre de maintenance. Ouvrez les onglets d'authentification sur chaque portail et passerelle GlobalProtect. Si le contournement d'authentification est désactivé, vous n'êtes pas exposé sur cet équipement et vous pouvez passer au suivant. S'il est activé, vérifiez que le certificat du cookie de contournement lui est exclusivement dédié et n'est partagé avec rien d'autre, et générez-en un nouveau là où ce n'est pas le cas. La plupart des parcs y parviennent en un après-midi, et cela tient que la mise à niveau arrive ou non ce trimestre.

Menez ensuite la mise à niveau correctement, branche par branche, car chaque ligne PAN-OS possède ses propres versions corrigées plutôt qu'un unique numéro à retenir. Et séparez d'abord vos points d'application sur le papier: Cloud NGFW est entièrement hors périmètre, Prisma Access a des versions corrigées distinctes, et un point de situation affirmant que le parc est corrigé sans cette distinction se trompera dans un sens ou dans l'autre. Les exploitants européens qui utilisent ces passerelles comme frontière d'une entité essentielle ou importante au sens de NIS2 ont en outre ce problème que le délai relatif à un incident important ne s'interrompt pas pendant la cartographie du parc.

À lire ensuite: Corriger SharePoint ne ferme plus la porte  |  Un bâtiment inutilisable coûte plus qu'une rançon