Qilin và INC lợi dụng lỗ hổng Palo Alto Networks để vượt MFA
"Qilin and INC ransomware groups are exploiting CVE-2026-0257, an authentication bypass flaw in Palo Alto Networks PAN-OS and Prisma Access, to gain unauthorized VPN access. Attackers leverage this access for reconnaissance, lateral movement, credential harvesting, and ransomware deployment, including targeting virtualization layers and Veeam backups. The vulnerability was patched in May 2026 and added to the CISA KEV catalog."
Lỗ hổng xác thực này cho phép kẻ tấn công vượt qua MFA và truy cập trái phép vào mạng, gây ra rủi ro mất dữ liệu và gián đoạn hoạt động.
Các doanh nghiệp có thể phải đối mặt với tổn thất tài chính do ransomware, gián đoạn hoạt động và mất uy tín nếu không vá lỗ hổng kịp thời. Đặc biệt, việc nhắm mục tiêu vào hệ thống backup có thể gây ra thiệt hại nghiêm trọng.
Các nhóm ransomware Qilin và INC đang khai thác lỗ hổng CVE-2026-0257 trên PAN-OS và Prisma Access của Palo Alto Networks để truy cập VPN trái phép. Palo Alto Networks công bố việc này vào tháng 10 năm 2026.
Lỗ hổng xác thực này cho phép kẻ tấn công thiết lập kết nối VPN mà không cần xác thực đa yếu tố (MFA). Sau khi có quyền truy cập, chúng thực hiện trinh sát mạng, di chuyển ngang, thu thập thông tin đăng nhập và triển khai ransomware, thậm chí nhắm mục tiêu đến các lớp ảo hóa và bản sao lưu Veeam.
Palo Alto Networks đã vá lỗ hổng này vào tháng 5 năm 2026 và CISA cũng đưa nó vào danh mục KEV (Known Exploited Vulnerabilities). Unit 42 cho biết các nhóm Spikey Scorpius (Qilin) và Tarnished Scorpius (INC) đang tích cực lợi dụng lỗ hổng này.
Kẻ tấn công sử dụng các công cụ RMM (Remote Monitoring and Management) để trinh sát, di chuyển qua mạng bằng RDP và SMB. Chúng còn triển khai công cụ để đánh cắp thông tin đăng nhập, lấy cắp dữ liệu và cuối cùng là triển khai ransomware. Các ngành bị nhắm mục tiêu rất đa dạng, bao gồm giáo dục, tài chính, y tế, công nghệ cao, khách sạn, sản xuất, dịch vụ chuyên nghiệp và pháp lý, chính phủ, vận tải, năng lượng và bán lẻ.
Đáng chú ý, kẻ tấn công còn tiếp cận lớp ảo hóa, vô hiệu hóa các biện pháp bảo mật trên ESXi hypervisors và sử dụng công cụ tùy chỉnh để trích xuất thông tin đăng nhập trực tiếp từ ổ đĩa ảo của domain controller. Điều này giúp chúng vượt qua các giải pháp EDR (Endpoint Detection and Response) trong máy ảo.
Ngoài ra, chúng còn kết hợp lỗ hổng này với các công cụ khai thác khác, bao gồm cả việc nhắm mục tiêu vào cơ sở hạ tầng Veeam backup bằng cách lợi dụng CVE-2023-27532 để gây ra thiệt hại tối đa.
Câu hỏi thường gặp
CVE-2026-0257 là gì?
CVE-2026-0257 là một lỗ hổng xác thực trên PAN-OS và Prisma Access của Palo Alto Networks. Lỗ hổng này cho phép kẻ tấn công vượt qua xác thực đa yếu tố (MFA) và truy cập VPN trái phép.
Các nhóm ransomware nào đang khai thác lỗ hổng này?
Các nhóm ransomware Qilin và INC đang tích cực khai thác lỗ hổng CVE-2026-0257 để tấn công các tổ chức trên toàn cầu. Unit 42 đã xác nhận hoạt động này.
Palo Alto Networks đã làm gì để khắc phục lỗ hổng này?
Palo Alto Networks đã phát hành bản vá cho lỗ hổng CVE-2026-0257 vào tháng 5 năm 2026. CISA cũng đã thêm lỗ hổng này vào danh mục KEV.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc các nhóm ransomware nhắm mục tiêu vào cả VPN gateway và cơ sở hạ tầng backup cho thấy một chiến lược tấn công toàn diện. Các doanh nghiệp Việt Nam sử dụng Palo Alto Networks cần kiểm tra và cập nhật hệ thống ngay lập tức. Điều đáng chú ý là việc tấn công vào lớp ảo hóa cho thấy kẻ tấn công đang tìm cách vượt qua các biện pháp bảo mật truyền thống. Các tổ chức nên xem xét việc tăng cường bảo mật cho cả VPN và hệ thống backup.