گروه‌های باج‌افزاری به‌طور فعال در حال سوءاستفاده از آسیب‌پذیری CVE-2026-0257 هستند؛ نقصی در بخش احراز هویت (Authentication Bypass) که محصولات PAN-OS GlobalProtect و Prisma Access شرکت Palo Alto Networks را تحت تأثیر قرار داده است. طبق گزارش ReliaQuest، چندین عامل تهدید (Threat Actor) از جمله گروه‌های Qilin و Settra از این حفره امنیتی برای ایجاد نشست‌های (Sessions) غیرمجاز VPN و نفوذ به شبکه‌های داخلی از طریق سرویس‌های دسترسی از راه دور مورد اعتماد استفاده می‌کنند.
چالش‌های شناسایی و تحلیل
این فعالیت‌ها چالش جدی برای سیستم‌های شناسایی ایجاد می‌کنند، زیرا مهاجمان از طریق همان VPN سازمان متصل می‌شوند. در نتیجه، ترافیک آن‌ها مشابه ترافیک عادی دورکاری به نظر می‌رسد و این امر به آن‌ها زمان کافی می‌دهد تا مدارک شناسایی (Credentials) را سرقت کنند، در شبکه جابه‌جا شوند (Lateral Movement)، داده‌های حساس را جمع‌آوری کرده یا زیرساخت‌های لازم برای اجرای باج‌افزار را فراهم کنند، پیش از آنکه تیم‌های امنیتی متوجه نفوذ شوند.
در گزارش‌های تکمیلی، استفاده از ابزارهایی مانند Cobalt Strike، BloodHound و SharpHound در کنار این حملات مشاهده شده است. این یافته‌ها نشان می‌دهد که مدافعان شبکه نباید صرفاً به دلیل موفقیت‌آمیز بودن اتصال VPN، آن را قانونی تلقی کنند، بلکه باید رفتارهای پس از اتصال را به دقت بررسی نمایند.
جزئیات فنی آسیب‌پذیری
شرکت Palo Alto Networks این آسیب‌پذیری را در ۱۳ می ۲۰۲۶ افشا کرد و نمره 7.8 (High) در مقیاس CVSS را به آن اختصاص داد. این نقص به مهاجم اجازه می‌دهد بدون داشتن مدارک شناسایی معتبر، محدودیت‌های امنیتی را دور زده و یک اتصال VPN غیرمجاز برقرار کند.
میزان در معرض قرار گرفتن سیستم‌ها به پیکربندی آن‌ها بستگی دارد. این آسیب‌پذیری زمانی رخ می‌دهد که در پورتال یا Gateway مربوط به GlobalProtect، قابلیت Authentication Override Cookies فعال باشد و یک پیکربندی خاص برای گواهینامه (Certificate) اعمال شده باشد. مشکل اصلی در تکیه بر کوکی‌ها بدون اعتبارسنجی صحیح و بررسی یکپارچگی (Integrity Checks) است.
نسخه‌های آسیب‌پذیر و اقدامات اصلاحی
نسخه‌های تحت تأثیر شامل موارد زیر است:
- PAN-OS: نسخه‌های 12.1، 11.2، 11.1 و 10.2
- Prisma Access: نسخه‌های 11.2 و 10.2
لازم به ذکر است که Panorama و Cloud NGFW تحت تأثیر این نقص نیستند. مدیران شبکه باید دقیقاً نسخه Maintenance خود را با جدول اصلاحات سازنده مطابقت دهند.
توصیه‌های امنیتی برای مدیران SOC و CISOها
سازمان‌ها باید فوراً اقدامات زیر را انجام دهند:
- به‌روزرسانی سریع: ارتقای تمامی استقرار‌های آسیب‌پذیر به آخرین نسخه اصلاح شده.
- مدیریت کوکی‌ها: غیرفعال کردن Authentication Override Cookies در مواردی که ضروری نیستند.
- گواهینامه‌های اختصاصی: ایجاد گواهینامه‌های جدید و اختصاصی برای کوکی‌های دور زدن احراز هویت و عدم استفاده از گواهینامه‌های مشترک پورتال یا Gateway.
- پاکسازی نشست‌ها: پس از اعمال Patch، تمامی نشست‌های فعال GlobalProtect باید قطع شوند تا دسترسی‌هایی که پیش از اصلاح ایجاد شده‌اند، از بین بروند.
- تحلیل Hostnameها: بررسی اتصال‌های مشکوک، به‌ویژه دستگاه‌هایی که از نام‌های میزبان مانند “kali” استفاده می‌کنند.
