Palo Alto GlobalProtect : les rançongiciels Qilin et Settra exploitent la faille CVE-2026-0257

La société de sécurité ReliaQuest a publié le 11 octobre 2026 une mise à jour de son analyse sur la faille CVE-2026-0257. Selon elle, les groupes de rançongiciel Qilin et Settra l'utilisent pour ouvrir des sessions VPN non autorisées, puis se déplacer dans les réseaux de leurs victimes. Cette faille permet de contourner l'authentification de GlobalProtect, la passerelle VPN des pare-feu Palo Alto Networks. L'éditeur l'a révélée le 13 mai 2026 et la classe comme attaquée (« Attacked »).

Une faille qui dépend de la configuration

D'après l'avis de Palo Alto Networks, seuls les portails et passerelles GlobalProtect qui acceptent les cookies de contournement d'authentification (authentication override cookies) sont exposés, et seulement avec une configuration de certificat particulière. Avoir GlobalProtect ne suffit donc pas pour être vulnérable. Cloud NGFW n'est pas concerné. Le score CVSS 4.0 est de 7,8, mais l'éditeur recommande la plus haute urgence de traitement.

L'exploitation dure depuis des mois. Selon Rapid7, cité par The CyberSec Guru, les premières tentatives datent du 17 mai, quatre jours après l'avis. Arctic Wolf avait déjà rattaché à Qilin, le 20 juillet, plusieurs intrusions survenues en juin. Le fait nouveau, c'est que ReliaQuest nomme aussi Settra, un groupe apparu en juin, et s'attend à une exploitation encore élevée dans les trois prochains mois.

Ce que font les attaquants

Une session VPN ouverte de cette façon ressemble à du télétravail ordinaire. ReliaQuest a observé dans des intrusions liées les outils Cobalt Strike, BloodHound et SharpHound. Ils servent au contrôle à distance et à la cartographie de l'Active Directory. Le groupe recommande d'examiner les connexions GlobalProtect inattendues, notamment celles qui viennent d'une machine dont le nom contient « kali ». C'est une piste d'enquête, pas une preuve.

Que faire ?

• Mettre à jour PAN-OS vers une version corrigée. Selon l'avis de l'éditeur : 12.1.4-h6 ou 12.1.7 ; 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 ou 11.2.12 ; 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 ou 11.1.15 ; 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 ou 10.2.18-h6. Les versions qui ne sont plus maintenues doivent passer sur une branche corrigée.
• À défaut, désactiver les cookies de contournement d'authentification sur le portail et la passerelle. Si vous en avez besoin, générez un certificat dédié à leur chiffrement, qui ne sert à rien d'autre.
• Fermer toutes les sessions GlobalProtect actives après la mise à jour. Un accès obtenu avant le correctif peut rester ouvert.
• Remonter les journaux VPN jusqu'à mi-mai, en priorité pour les comptes privilégiés et les connexions de provenance inhabituelle. En cas de doute, renouvelez les identifiants à privilèges et lancez une investigation.