Un certificato condiviso è ciò che fa entrare Qilin

Dieci settimane dall'avviso al ransomware

Palo Alto Networks ha pubblicato il proprio avviso su CVE-2026-0257 il 13 maggio 2026 e lo ha rivisto l'ultima volta il 3 giugno. Il testo è misurato. Classifica il problema come alto con CVSS 7,8, pone l'urgenza al livello massimo e afferma che l'azienda è venuta a conoscenza di tentativi limitati di sfruttamento su dispositivi PAN-OS non aggiornati e privi di mitigazioni.

Il resto del calendario si è riempito attorno. Rapid7 ha riferito di aver osservato sfruttamento negli ambienti dei clienti dal 17 maggio. La CISA ha aggiunto la falla al catalogo delle vulnerabilità sfruttate note il 29 maggio, il che, in base alla direttiva operativa vincolante, ha dato alle agenzie federali tre giorni per rimediare. Poi, a giugno, Arctic Wolf Labs ha indagato su diverse intrusioni in cui questa vulnerabilità era il vettore di accesso iniziale e il ransomware Qilin l'esito.

Dieci settimane separano un avviso misurato da un evento di cifratura a esso ricondotto. Nulla in quella sequenza è insolito. Ciò che rende questo caso degno di un'ora della vostra settimana è che qui la domanda sull'esposizione non è quella a cui i vostri strumenti sono predisposti a rispondere.

La falla sta in una configurazione, non in una versione

CVE-2026-0257 è un aggiramento dell'autenticazione nel portale e nel gateway GlobalProtect. Consente a un attaccante remoto non autenticato di aggirare l'autenticazione e stabilire una sessione VPN senza credenziali valide. Questo è il titolo e, da solo, sarebbe un ordinario intervento di patching.

È la precondizione a fare la differenza. L'override di autenticazione è una funzione non attiva per impostazione predefinita: permette a un portale o gateway di emettere un cookie di sessione perché gli utenti non si autentichino a ogni connessione, alla maniera di un token al portatore. La vulnerabilità diventa sfruttabile solo quando il certificato usato per cifrare e decifrare quei cookie serve anche ad altro, per esempio al servizio HTTPS del portale o del gateway stesso. Un certificato, due compiti, e l'aggiramento esiste.

Guardate cosa fa questo al vostro inventario. Le build interessate attraversano PAN-OS 12.1, 11.2, 11.1 e 10.2, con versioni corrette in ciascun ramo, più Prisma Access da 10.2 a 11.2.7-h12. Cloud NGFW non è interessato. Ma un dispositivo su una build interessata con l'override disattivato non è esposto, e nemmeno uno con un certificato dedicato. Il vostro sistema di gestione degli asset conosce la versione. Quasi certamente non conosce a cosa sia legato il certificato. Quindi la domanda a cui potete rispondere in fretta e la domanda che determina il vostro rischio sono due domande diverse.

Come apparivano dall'interno le intrusioni di giugno

Arctic Wolf Labs descrive uno schema noto eseguito con competenza. Dopo aver stabilito una sessione VPN senza credenziali, gli operatori hanno svuotato LSASS ed estratto NTDS per raccogliere credenziali, poi si sono mossi lateralmente con PsExec e condivisioni amministrative di Windows. Nei casi di doppia estorsione i dati sono usciti tramite Rclone verso MEGA prima che qualcosa venisse cifrato.

Due dettagli operativi meritano di essere messi in evidenza. Il ransomware è stato preparato in C:\PerfLogs\, una cartella che i ricercatori segnalano come raramente monitorata dagli strumenti di integrità dei file. E gli operatori hanno cancellato i registri eventi di Windows in tutta l'azienda usando PowerShell. Il tempo di permanenza è variato: alcuni casi hanno svolto prima una ricognizione estesa, altri sono passati rapidamente dall'accesso alla cifratura generalizzata.

La cancellazione dei registri è la parte che impone una scelta di pianificazione. Se la vostra ricostruzione dell'incidente dipende dai registri eventi locali di Windows, questo attore rimuove la vostra ricostruzione come passo di routine, non come tocco finale. Inoltrare quei registri fuori dall'host, verso un luogo che le stesse credenziali non raggiungono, non è un miglioramento della risposta agli incidenti. È la differenza tra avere un'indagine e avere un'ipotesi.

Tentativi limitati di sfruttamento era esatto e inservibile

Mettete la frase del fornitore accanto all'esito. Il 3 giugno Palo Alto Networks era venuta a conoscenza di tentativi limitati di sfruttamento. A fine giugno Arctic Wolf ricostruiva intrusioni ransomware che partivano dalla stessa falla. Entrambe le affermazioni sono vere, e la prima non avrebbe mai potuto avvisarvi della seconda.

La ragione è strutturale e non riguarda questo fornitore. Un avviso del fornitore riporta ciò che il fornitore riesce a vedere: casi arrivati alla sua assistenza, telemetria dei clienti che la condividono, incidenti a esso comunicati. È un segnale reale sulla visibilità del fornitore. Non è una misura di quanti attaccanti possiedano la tecnica, e non può esserlo, perché la distanza tra tentativi limitati e sfruttamento di massa si colma quando un exploit funzionante cambia di mano, non per qualcosa che il fornitore faccia.

La traduzione pratica è un'abitudine, non uno strumento. Leggete il linguaggio sulla gravità come descrizione di quanto osservato finora, e leggete la precondizione come descrizione della vostra esposizione. Qui la precondizione è un legame di certificato che potete verificare oggi, e sarà ancora vera fra un mese, quando il linguaggio sullo sfruttamento sarà andato oltre.

La verifica che richiede un pomeriggio

Partite dalla configurazione anziché dall'aggiornamento, perché la soluzione temporanea offerta da Palo Alto Networks non richiede finestre di manutenzione. Aprite le schede di autenticazione su ogni portale e gateway GlobalProtect. Se l'override di autenticazione è disattivato, su quel dispositivo non siete esposti e potete andare avanti. Se è attivo, verificate che il certificato del cookie di override sia dedicato solo a quello e non condiviso con nient'altro, generandone uno nuovo dove non lo sia. È un intervento che la maggior parte dei parchi completa in un pomeriggio, e regge che l'aggiornamento arrivi o meno in questo trimestre.

Poi eseguite l'aggiornamento come si deve, ramo per ramo, perché ogni linea PAN-OS ha proprie build corrette e non un solo numero da ricordare. E separate prima sulla carta i vostri punti di applicazione: Cloud NGFW è del tutto fuori perimetro, Prisma Access ha versioni corrette distinte, e un aggiornamento di stato che dichiari il parco aggiornato senza quella distinzione sarà sbagliato in una direzione o nell'altra. Gli operatori europei che usano questi gateway come confine di un soggetto essenziale o importante ai sensi della NIS2 hanno in più il problema che il termine per l'incidente significativo non si ferma mentre il parco viene mappato.

Da leggere ora: Applicare la patch a SharePoint non chiude più la porta  |  Un edificio inutilizzabile costa più di un riscatto