Des gangs de rançongiciels exploitent une faille du VPN GlobalProtect — ce qu’il faut vérifier

Les opérateurs de rançongiciels continuent de cibler une faille du VPN GlobalProtect corrigée en mai 2026, des intrusions documentées s’étendant jusqu’à l’infrastructure de virtualisation des entreprises.

Dans une mise à jour du 19 octobre 2026, Unit 42 de Palo Alto Networks a identifié de nouvelles tentatives d’exploitation impliquant les opérateurs de rançongiciels Qilin et Inc, qui ciblent CVE-2026-0257. Les enquêteurs ont documenté des attaquants accédant à une infrastructure VMware, où ils ont extrait des identifiants de domaine tout en contournant les outils de sécurité exécutés dans les machines virtuelles.

Les équipes de sécurité qui utilisent des configurations GlobalProtect vulnérables doivent vérifier l’application des correctifs et déterminer si des attaquants ont établi un accès avant la remédiation.

Les attaques contre GlobalProtect atteignent les systèmes de virtualisation et de sauvegarde

L’enquête de Unit 42 identifie Qilin (Spikey Scorpius) et Inc (Tarnished Scorpius), tout en faisant état de rapports publics distincts concernant le rançongiciel Settra.

CVE-2026-0257 affecte certains déploiements de PAN-OS et de Prisma Access utilisant des cookies d’authentification prioritaire associés à une configuration de certificat vulnérable. Les attaquants peuvent établir des sessions VPN non autorisées sans effectuer l’authentification habituelle, y compris l’authentification multifacteur (MFA).

Palo Alto Networks évalue la gravité de la faille à un niveau élevé (7,8 selon CVSS 4,0). Divulguée le 13 mai 2026, elle a été ajoutée au catalogue des vulnérabilités connues et exploitées de la CISA le 29 mai.

Les enquêteurs ont observé une phase de reconnaissance utilisant des logiciels légitimes de gestion à distance, suivie de mouvements latéraux via RDP et SMB. Des détournements d’outils de gestion à distance de confiance similaires compliquent la détection pour les équipes de sécurité.

Lors d’une intrusion, les attaquants ont atteint VMware vCenter, désactivé le execInstalledOnly contrôle de sécurité sur les hôtes ESXi et extrait des identifiants de domaine depuis un disque virtuel, contournant ainsi les contrôles de sécurité internes aux machines virtuelles. Unit 42 a également observé des attaquants combinant un accès VPN avec des outils d’exploitation ciblant l’infrastructure de sauvegarde Veeam, notamment CVE-2023-27532.

Par ailleurs, Arctic Wolf a documenté des intrusions survenues en juin et s’étant soldées par le déploiement du rançongiciel Qilin. Des vulnérabilités de gestion des pare-feu Cisco ont elles aussi permis des attaques par rançongiciel contre des réseaux internes.

Jacob Krell, directeur principal des solutions d’IA sécurisée et de la cybersécurité chez Suzu Labs, a recommandé de limiter les accès disponibles sur les appliances de sécurité compromises.

« Considérez le pare-feu comme un point d’accès exposé aux attaquants et segmentez le réseau afin qu’une passerelle compromise ne puisse pas atteindre tout ce qui se trouve derrière elle », a déclaré Krell.

Correctifs, chasse aux menaces et mesures de reprise

Les administrateurs doivent corriger les configurations vulnérables et rechercher d’éventuels accès antérieurs. De récentes attaques contre des VPN Ivanti visant à dérober des identifiants montrent pourquoi la remédiation doit aller au-delà des mises à jour logicielles.

• Appliquer les correctifs et renforcer l’authentification. Appliquez les versions corrigées de PAN-OS et de Prisma Access répertoriées dans l’avis du fournisseur. Désactivez les cookies d’authentification prioritaire inutiles ou utilisez des certificats dédiés. Mettez à jour les portails et passerelles concernés, puis vérifiez que la validation HMAC stricte est activée.
• Examiner l’activité VPN. Recherchez les gateway-connected événements suspects, les adresses IP sources et les identifiants tels que GP-CLIENT et DESKTOP-GP01. Corrélez les indicateurs avant de confirmer une compromission.
• Examiner les accès internes. Examinez les comptes privilégiés, l’activité RDP et SMB, les configurations de vCenter et d’ESXi ainsi que les systèmes Veeam à la recherche de modifications non autorisées ou de vols d’identifiants.
• Limiter les mouvements latéraux. Segmentez l’accès VPN des contrôleurs de domaine, des interfaces de gestion des hyperviseurs et des serveurs de sauvegarde. Appliquez le principe du moindre privilège et séparez les comptes administrateur.
• Restreindre l’exposition des interfaces de gestion. Vérifiez les interfaces de gestion accessibles depuis l’extérieur sur les ports 4443 et 3879, un autre problème de configuration identifié dans la mise à jour de Unit 42 du 20 octobre.
• Tester les plans de réponse aux incidents. Révoquez les accès compromis, renouvelez les identifiants exposés, recherchez les mécanismes de persistance et vérifiez la restauration des sauvegardes à l’aide de copies de récupération protégées.

Darin Fredde, directeur principal du marketing technique et de l’ingénierie chez Ridge Security, a insisté sur l’importance de valider la remédiation.

« Découvrir plus rapidement les vulnérabilités ne sert pas à grand-chose si nous ne pouvons pas les corriger avec la même efficacité », a déclaré Fredde.

L’application des correctifs comble la vulnérabilité connue, mais l’examen de l’activité VPN antérieure et des systèmes en aval reste nécessaire pour identifier une éventuelle compromission et limiter les dommages causés par les rançongiciels.

Pour aller plus loin : l’avertissement du FBI concernant les rançongiciels SafePay, qui concerne plus de 600 organisations touchées explique comment des identifiants compromis, des services exposés et des attaques contre l’infrastructure de récupération peuvent perturber les opérations des entreprises.