Ransomware-Betreiber nehmen weiterhin eine im Mai 2026 gepatchte Schwachstelle im GlobalProtect-VPN ins Visier; dokumentierte Eindringversuche erstreckten sich bis in die Virtualisierungsinfrastruktur von Unternehmen.
In einem Update vom 19. Oktober 2026 stellte die Unit 42 von Palo Alto Networks anhaltende Ausnutzungsversuche fest, bei denen die Ransomware-Betreiber Qilin und Inc CVE-2026-0257 ins Visier nahmen. Die Ermittler dokumentierten, dass Angreifer die VMware-Infrastruktur erreichten und dort Zugangsdaten für die Domäne extrahierten, während sie innerhalb virtueller Maschinen ausgeführte Sicherheitstools umgingen.
Sicherheitsteams, die anfällige GlobalProtect-Konfigurationen betreiben, müssen die Installation des Patches überprüfen und untersuchen, ob Angreifer bereits vor der Behebung Zugriff erlangt hatten.
GlobalProtect-Angriffe erreichen Virtualisierungs- und Backup-Systeme
Die Untersuchung von Unit 42 identifiziert Qilin (Spikey Scorpius) und Inc (Tarnished Scorpius) und verweist zugleich auf separate öffentliche Berichte über die Ransomware Settra.
CVE-2026-0257 betrifft bestimmte PAN-OS- und Prisma-Access-Bereitstellungen, die Authentifizierungs-Override-Cookies mit einer anfälligen Zertifikatkonfiguration verwenden. Angreifer können nicht autorisierte VPN-Sitzungen einrichten, ohne die reguläre Authentifizierung einschließlich der Multi-Faktor-Authentifizierung (MFA) abzuschließen.
Palo Alto Networks stuft die Schwachstelle als kritisch ein (7,8 nach CVSS 4,0). Sie wurde am 13. Mai 2026 veröffentlicht und am 29. Mai in den Katalog der bekannten, aktiv ausgenutzten Schwachstellen von CISA aufgenommen.
Die Ermittler beobachteten zunächst eine Aufklärung mithilfe legitimer Fernverwaltungssoftware, gefolgt von lateralen Bewegungen über RDP und SMB. Derartige Missbrauchsfälle vertrauenswürdiger Fernverwaltungstools erschweren Sicherheitsteams die Erkennung.
Bei einem Eindringversuch erreichten die Angreifer VMware vCenter, deaktivierten dieexecInstalledOnly Sicherheitskontrolle auf ESXi-Hosts und extrahierten Domänenzugangsdaten aus einer virtuellen Festplatte, wobei sie die innerhalb des Gasts ausgeführten Sicherheitskontrollen umgingen. Die Unit 42 beobachtete außerdem, wie Angreifer den VPN-Zugriff mit Exploit-Tools kombinierten, die auf die Veeam-Backup-Infrastruktur abzielten, darunter CVE-2023-27532.
Separat dokumentierte Arctic Wolf Eindringversuche im Juni, die in der Bereitstellung der Qilin-Ransomware gipfelten. Schwachstellen in der Verwaltung von Cisco-Firewalls haben ebenfalls Ransomware-Angriffe ermöglicht gegen interne Netzwerke.
Jacob Krell, Senior Director für sichere KI-Lösungen und Cybersicherheit bei Suzu Labs, empfahl, den Zugriff auf kompromittierte Sicherheits-Appliances einzuschränken.
„Behandeln Sie die Firewall wie einen für Angreifer zugänglichen Endpunkt und segmentieren Sie das Netzwerk so, dass ein kompromittiertes Gateway nicht alles dahinter erreichen kann“, sagte Krell.
Patching, Threat Hunting und Schutzmaßnahmen für die Wiederherstellung
Administratoren sollten anfällige Konfigurationen beheben und früheren Zugriff untersuchen. Aktuelle Ivanti-VPN-Angriffe zum Diebstahl von Zugangsdatenzeigen, warum die Behebung über Software-Updates hinausgehen muss.
- Authentifizierung patchen und härten. Die in der Herstellerempfehlung aufgeführten korrigierten Versionen von PAN-OS und Prisma Access einspielen. Nicht benötigte Authentifizierungs-Override-Cookies deaktivieren oder dedizierte Zertifikate verwenden. Die relevanten Portale und Gateways aktualisieren und anschließend sicherstellen, dass eine strikte HMAC-Validierung aktiviert ist.
- VPN-Aktivitäten überprüfen. Verdächtige
gateway-connectedEreignisse, Quell-IP-Adressen und Kennungen wieGP-CLIENTundDESKTOP-GP01. Vor der Bestätigung einer Kompromittierung die Indikatoren miteinander korrelieren. - Internen Zugriff untersuchen. Privilegierte Konten, RDP- und SMB-Aktivitäten, vCenter- und ESXi-Konfigurationen sowie Veeam-Systeme auf nicht autorisierte Änderungen oder den Diebstahl von Zugangsdaten prüfen.
- Laterale Bewegungen einschränken. Den VPN-Zugriff von Domänencontrollern, Verwaltungsschnittstellen der Hypervisoren und Backup-Servern segmentieren. Das Prinzip der geringsten Rechte durchsetzen und separate Administratorkonten verwenden.
- Management-Zugriff einschränken. Extern zugängliche Verwaltungsschnittstellen an den Ports 4443 und 3879 überprüfen – ein separates Konfigurationsproblem, das die Unit 42 in ihrem Update vom 20. Oktober identifiziert hat.
- Pläne für die Reaktion auf Sicherheitsvorfälle testen. Kompromittierte Zugriffe entziehen, offengelegte Zugangsdaten ändern, nach Persistenz suchen und die Wiederherstellung von Backups anhand geschützter Wiederherstellungskopien überprüfen.
Darin Fredde, Senior Director für technische Marketingentwicklung bei Ridge Security, betonte, wie wichtig die Validierung der Behebung ist.
„Schwachstellen schneller zu entdecken, bedeutet wenig, wenn wir sie nicht ebenso effektiv beheben können“, sagte Fredde.
Das Patchen schließt die bekannte Schwachstelle, doch die Überprüfung früherer VPN-Aktivitäten und nachgelagerter Systeme bleibt notwendig, um eine mögliche Kompromittierung zu erkennen und den Schaden durch Ransomware zu begrenzen.
Die SafePay-Ransomware-Warnung des FBI, die mehr als 600 betroffene Organisationen abdeckt beschreibt detailliert, wie kompromittierte Zugangsdaten, offengelegte Dienste und Angriffe auf die Wiederherstellungsinfrastruktur den Betrieb von Unternehmen stören können.