Um certificado partilhado é o que deixa o Qilin entrar

Dez semanas do aviso ao ransomware

A Palo Alto Networks publicou o seu aviso sobre o CVE-2026-0257 a 13 de maio de 2026 e reviu-o pela última vez a 3 de junho. O texto é contido. Classifica o problema como elevado com CVSS 7,8, coloca a urgência no nível máximo e afirma que a empresa tomou conhecimento de tentativas limitadas de exploração em equipamentos PAN-OS não corrigidos e sem mitigações aplicadas.

O resto do calendário preencheu-se em redor. A Rapid7 relatou exploração observada em ambientes de clientes a partir de 17 de maio. A CISA acrescentou a falha ao seu catálogo de vulnerabilidades exploradas conhecidas a 29 de maio, o que, ao abrigo da diretiva operacional vinculativa, deu às agências federais três dias para corrigir. Depois, em junho, a Arctic Wolf Labs investigou várias intrusões em que esta vulnerabilidade foi o vetor de acesso inicial e o ransomware Qilin o desfecho.

Dez semanas separam um aviso contido de um evento de cifragem que lhe é atribuído. Nada nessa sequência é invulgar. O que torna este caso digno de uma hora da sua semana é que aqui a pergunta sobre exposição não é aquela que as suas ferramentas estão preparadas para responder.

A falha está numa configuração, não numa versão

O CVE-2026-0257 é um contorno de autenticação no portal e no gateway GlobalProtect. Permite a um atacante remoto não autenticado contornar a autenticação e estabelecer uma sessão VPN sem credenciais válidas. É esse o título e, por si só, seria um assunto de atualização corrente.

É a pré-condição que faz a diferença. A substituição de autenticação é uma função que não vem ativa por omissão: permite que um portal ou gateway emita um cookie de sessão para que os utilizadores não voltem a autenticar-se em cada ligação, à maneira de um token ao portador. A vulnerabilidade só se torna explorável quando o certificado que cifra e decifra esses cookies serve também outra coisa, por exemplo o serviço HTTPS do próprio portal ou gateway. Um certificado, duas tarefas, e o contorno existe.

Veja o que isso faz ao seu inventário. As versões afetadas atravessam o PAN-OS 12.1, 11.2, 11.1 e 10.2, com versões corrigidas em cada ramo, mais o Prisma Access de 10.2 até 11.2.7-h12. O Cloud NGFW não é afetado. Mas um equipamento numa versão afetada com a substituição desligada não está exposto, e um com certificado dedicado também não. O seu sistema de gestão de ativos conhece a versão. Quase de certeza não sabe a que está ligado o certificado. Portanto a pergunta que consegue responder depressa e a pergunta que determina o seu risco são duas perguntas distintas.

Como eram por dentro as intrusões de junho

A Arctic Wolf Labs descreve uma forma conhecida executada com competência. Depois de estabelecerem uma sessão VPN sem credenciais, os operadores despejaram LSASS e extraíram NTDS para colher credenciais, e depois moveram-se lateralmente com PsExec e partilhas administrativas do Windows. Nos casos de dupla extorsão, os dados saíram através do Rclone para o MEGA antes de qualquer cifragem.

Dois pormenores operacionais merecem destaque. O ransomware foi preparado em C:\PerfLogs\, uma pasta que os investigadores assinalam como raramente vigiada pelas ferramentas de integridade de ficheiros. E os operadores apagaram os registos de eventos do Windows em toda a empresa através do PowerShell. O tempo de permanência variou: alguns casos fizeram primeiro reconhecimento extenso, outros passaram depressa do acesso à cifragem generalizada.

O apagamento dos registos é a parte que obriga a planear. Se a sua reconstituição do incidente depende dos registos de eventos locais do Windows, este agente remove a sua reconstituição como passo de rotina, não como floreado. Reencaminhar esses registos para fora da máquina, para um sítio que as mesmas credenciais não alcançam, não é uma melhoria da resposta a incidentes. É a diferença entre ter uma investigação e ter um palpite.

Tentativas limitadas de exploração era exato e inútil

Ponha a frase do fabricante ao lado do desfecho. A 3 de junho, a Palo Alto Networks tinha conhecimento de tentativas limitadas de exploração. No final de junho, a Arctic Wolf reconstituía intrusões de ransomware que começavam pela mesma falha. Ambas as afirmações são verdadeiras, e a primeira nunca o iria avisar da segunda.

A razão é estrutural e nada tem que ver com este fabricante. Um aviso de fabricante relata o que o fabricante consegue ver: casos que chegaram ao seu apoio, telemetria de clientes que a partilham, incidentes que lhe foram divulgados. É um sinal real sobre a visibilidade do fabricante. Não é uma medição de quantos atacantes detêm a técnica, e não pode ser, porque a distância entre tentativas limitadas e exploração generalizada fecha-se quando um exploit funcional muda de mãos, não por algo que o fabricante faça.

A tradução prática é um hábito, não uma ferramenta. Leia a linguagem sobre gravidade como descrição do que foi observado até agora, e leia a pré-condição como descrição da sua própria exposição. Aqui a pré-condição é uma ligação de certificado que pode verificar hoje, e continuará verdadeira daqui a um mês, quando a linguagem sobre exploração já tiver mudado.

A verificação que leva uma tarde

Comece pela configuração e não pela atualização, porque a solução provisória que a Palo Alto Networks oferece não precisa de janela de manutenção. Abra os separadores de autenticação em cada portal e gateway GlobalProtect. Se a substituição de autenticação estiver desligada, não está exposto nesse equipamento e pode seguir. Se estiver ligada, confirme que o certificado do cookie de substituição se dedica só a isso e não é partilhado com mais nada, gerando um novo onde não seja assim. É algo que a maioria dos parques resolve numa tarde, e aguenta quer a atualização chegue ou não este trimestre.

Depois faça a atualização como deve ser, ramo a ramo, porque cada linha do PAN-OS tem versões corrigidas próprias em vez de um único número a decorar. E separe primeiro no papel os seus pontos de aplicação: o Cloud NGFW fica totalmente fora, o Prisma Access tem versões corrigidas distintas, e um ponto de situação a dizer que o parque está corrigido, sem essa distinção, estará errado num sentido ou noutro. Os operadores europeus que usam estes gateways como fronteira de uma entidade essencial ou importante ao abrigo da NIS2 têm ainda o problema de o prazo do incidente significativo não parar enquanto o parque é mapeado.

Leia a seguir: Aplicar o patch ao SharePoint já não fecha a porta  |  Um edifício inutilizado custa mais do que um resgate