Nhiều nhóm ransomware tấn công lỗ hổng PAN-OS từ tháng 6
"Multiple ransomware groups, including Qilin, Inc, and Settra, have been exploiting CVE-2026-0257, an authentication bypass vulnerability in Palo Alto Networks' PAN-OS GlobalProtect portals and gateways, since June. Attackers are using this to gain initial network access, bypass MFA, and move laterally, ultimately deploying ransomware. Palo Alto Networks initially rated the bug as medium severity but later patched it on May 13th."
Lỗ hổng CVE-2026-0257 cho phép bỏ qua xác thực và truy cập trái phép vào mạng, tạo điều kiện cho các cuộc tấn công ransomware.
Các cuộc tấn công ransomware có thể gây gián đoạn hoạt động, mất dữ liệu và thiệt hại tài chính cho doanh nghiệp. Việc vá lỗi PAN-OS kịp thời là rất quan trọng để giảm thiểu rủi ro.
Kể từ tháng 6, các nhóm ransomware như Qilin, Inc và Settra khai thác CVE-2026-0257, một lỗ hổng bỏ qua xác thực trong PAN-OS GlobalProtect của Palo Alto Networks. Unit 42 ghi nhận các cuộc tấn công trên nhiều ngành như tài chính, y tế và sản xuất.
Lỗ hổng này ảnh hưởng đến cổng và gateway GlobalProtect, cho phép kẻ tấn công bỏ qua bảo mật và thiết lập kết nối VPN trái phép. Palo Alto Networks phát hành bản vá vào ngày 13 tháng 5, ban đầu đánh giá mức độ nghiêm trọng là trung bình, nhưng sau đó nâng cấp khi phát hiện các vụ khai thác thực tế.
Kẻ tấn công sử dụng lỗ hổng này để xâm nhập mạng, bỏ qua MFA (Multi-Factor Authentication), di chuyển ngang qua mạng bằng RDP (Remote Desktop Protocol) và SMB (Server Message Block). Chúng thu thập thông tin đăng nhập, đánh cắp dữ liệu và cuối cùng triển khai ransomware. Unit 42 cho biết các ngành bị ảnh hưởng bao gồm giáo dục, dịch vụ tài chính, y tế, công nghệ cao, khách sạn, sản xuất, dịch vụ chuyên nghiệp và pháp lý, chính phủ, vận tải, năng lượng và bán lẻ.
Palo Alto Networks chưa phản hồi yêu cầu bình luận về số lượng tổ chức bị ảnh hưởng. Các nhà phân tích ReliaQuest cũng cảnh báo nhiều nhóm đe dọa khác, bao gồm Settra, đang khai thác lỗ hổng này. Kẻ tấn công thậm chí còn di chuyển đến lớp ảo hóa, vô hiệu hóa các biện pháp bảo mật trên ESXi hypervisors và sử dụng công cụ tùy chỉnh để trích xuất thông tin đăng nhập từ domain controller VMDK.
Unit 42 cũng phát hiện các cuộc tấn công kết hợp lỗ hổng này với CVE-2023-27532, nhắm mục tiêu vào cơ sở hạ tầng sao lưu Veeam. Bạn nên vá phần mềm PAN-OS dễ bị tấn công và kiểm tra xem mạng của bạn có bị xâm nhập hay không. Hãy tham khảo các IOC (Indicators of Compromise) của Unit 42 để hỗ trợ việc tìm kiếm mối đe dọa.
Câu hỏi thường gặp
CVE-2026-0257 là gì?
CVE-2026-0257 là một lỗ hổng bỏ qua xác thực trong PAN-OS GlobalProtect của Palo Alto Networks. Nó cho phép kẻ tấn công truy cập trái phép vào mạng.
Các nhóm ransomware nào đang khai thác lỗ hổng này?
Các nhóm ransomware như Qilin, Inc và Settra đã được xác định là đang khai thác lỗ hổng CVE-2026-0257 để tấn công các tổ chức.
Khi nào bản vá cho lỗ hổng này được phát hành?
Palo Alto Networks phát hành bản vá cho lỗ hổng CVE-2026-0257 vào ngày 13 tháng 5. Tuy nhiên, các cuộc tấn công vẫn tiếp diễn sau đó.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng quan tâm đối với các doanh nghiệp Việt Nam sử dụng PAN-OS GlobalProtect. Việc vá lỗi ngay lập tức là cần thiết để ngăn chặn các cuộc tấn công ransomware. Điều đáng chú ý là kẻ tấn công đang sử dụng các kỹ thuật phức tạp để di chuyển ngang và đánh cắp thông tin đăng nhập, cho thấy mức độ nguy hiểm cao. Các doanh nghiệp nên xem xét triển khai các biện pháp bảo mật bổ sung, chẳng hạn như EDR (Endpoint Detection and Response), để phát hiện và ngăn chặn các hoạt động độc hại.