Nhóm tấn công Qilin khai thác lỗ hổng bypass xác thực trong PAN-OS để xâm nhập ban đầu
"Threat actors exploited the patched PAN-OS authentication bypass vulnerability CVE-2026-0257 (CVSS 7.8) to establish unauthorized SSL VPN sessions and gain initial access to victim networks. The intrusion chain was used to deploy Qilin ransomware, with observed post-exploitation activity including credential harvesting, lateral movement via PsExec and Windows administrative shares, log clearing, Defender tampering, and in some cases data exfiltration before encryption; the fix is to apply the vendor patch and harden VPN/authentication configurations."
Tác động cao do bypass xác thực cho phép tạo phiên SSL VPN trái phép, mở đường cho triển khai ransomware và mở rộng xâm nhập. Điểm then chốt: CVE-2026-0257 (CVSS 7.8), khả năng vượt qua xác thực qua authentication override cookies, và chuỗi hành động gồm xoá log/tắt Defender trước khi chạy payload.
Rủi ro gián đoạn vận hành và chi phí ứng phó tăng khi ransomware có thể được triển khai nhanh và có thể kèm double-extortion hoặc data exfiltration. Điểm then chốt: khả năng xâm nhập qua VPN, mức độ lan truyền qua chia sẻ quản trị, và biến thiên hậu khai thác giữa các nạn nhân.
Các tác nhân đe doạ được ghi nhận đã khai thác CVE-2026-0257 (PAN-OS) để thiết lập truy cập ban đầu và triển khai ransomware Qilin (Agenda) trên hệ thống nạn nhân. Theo Arctic Wolf Labs, lỗ hổng này có mức CVSS 7.8, ảnh hưởng đến thành phần portal và gateway của PAN-OS, cho phép kẻ tấn công từ xa vượt qua xác thực khi cấu hình liên quan đến authentication override cookies được bật cùng một số thiết lập chứng chỉ.
Khi khai thác thành công, kẻ tấn công có thể tạo phiên SSL VPN mà không cần thông tin đăng nhập hợp lệ, sau đó mở rộng xâm nhập để thu thập credential harvesting và di chuyển ngang. Hoạt động hậu khai thác được mô tả gồm lưu trữ ransomware tại C:\PerfLogs\, thực thi lan truyền qua PsExec và các Windows administrative shares, đồng thời triển khai cơ chế xoá log và giảm khả năng bị phát hiện bằng cách tắt Microsoft Defender Real-Time Protection trước khi chạy payload.
Một số trường hợp ghi nhận có data exfiltration lên dịch vụ đám mây (ví dụ MEGA) trước khi mã hoá dữ liệu. Khuyến nghị: áp dụng ngay bản vá của nhà cung cấp, rà soát cấu hình VPN/authentication, và tăng cường giám sát log, phân quyền quản trị, cũng như kiểm tra dấu hiệu PsExec/registry persistence.