Współdzielony certyfikat wpuszcza Qilina do środka

Dziesięć tygodni od komunikatu do ransomware

Palo Alto Networks opublikowało swój komunikat o CVE-2026-0257 13 maja 2026 roku, a ostatni raz poprawiło go 3 czerwca. Tekst jest wyważony. Ocenia problem jako wysoki przy CVSS 7,8, ustawia pilność na najwyższym poziomie i stwierdza, że firma powzięła wiedzę o ograniczonych próbach wykorzystania na niezałatanych urządzeniach PAN-OS bez zastosowanych obejść.

Reszta kalendarza wypełniła się wokół tego. Rapid7 zgłosiło zaobserwowanie wykorzystania w środowiskach klientów od 17 maja. CISA dodała lukę do katalogu znanych wykorzystywanych podatności 29 maja, co na mocy wiążącej dyrektywy operacyjnej dało agencjom federalnym trzy dni na usunięcie. Następnie w czerwcu Arctic Wolf Labs zbadało kilka włamań, w których ta podatność była pierwszym wektorem dostępu, a ransomware Qilin skutkiem.

Dziesięć tygodni dzieli wyważony komunikat od zdarzenia szyfrowania, które do niego prowadzi. Nic w tej sekwencji nie jest niezwykłe. To, co czyni ten przypadek wartym godziny waszego tygodnia, to fakt, że pytanie o narażenie nie jest tu tym pytaniem, na które wasze narzędzia są przygotowane odpowiedzieć.

Luka mieszka w konfiguracji, a nie w wersji

CVE-2026-0257 to obejście uwierzytelniania w portalu i bramie GlobalProtect. Pozwala nieuwierzytelnionemu zdalnemu napastnikowi ominąć uwierzytelnianie i zestawić sesję VPN bez ważnych poświadczeń. To jest nagłówek i sam w sobie byłby zwykłą pozycją do załatania.

Różnicę robi warunek wstępny. Nadpisanie uwierzytelniania to funkcja niewłączona domyślnie: pozwala portalowi lub bramie wydać ciasteczko sesji, by użytkownicy nie logowali się przy każdym połączeniu, na modłę tokenu na okaziciela. Podatność staje się możliwa do wykorzystania dopiero wtedy, gdy certyfikat szyfrujący i deszyfrujący te ciasteczka służy też do czegoś innego, na przykład usłudze HTTPS samego portalu lub bramy. Jeden certyfikat, dwa zadania, i obejście istnieje.

Zobaczcie, co to robi z waszą inwentaryzacją. Dotknięte wydania biegną przez PAN-OS 12.1, 11.2, 11.1 i 10.2, z poprawionymi wersjami w każdej gałęzi, plus Prisma Access od 10.2 do 11.2.7-h12. Cloud NGFW nie jest dotknięty. Ale urządzenie na dotkniętym wydaniu z wyłączonym nadpisaniem nie jest narażone, tak samo jak urządzenie z dedykowanym certyfikatem. Wasz system zarządzania zasobami zna wersję. Powiązania certyfikatu prawie na pewno nie zna. Zatem pytanie, na które odpowiecie szybko, i pytanie, które wyznacza wasze ryzyko, to dwa różne pytania.

Jak czerwcowe włamania wyglądały od środka

Arctic Wolf Labs opisuje znajomy kształt wykonany kompetentnie. Po zestawieniu sesji VPN bez poświadczeń operatorzy zrzucili LSASS i wyciągnęli NTDS, by zebrać poświadczenia, a potem przemieścili się w bok przy użyciu PsExec i administracyjnych udziałów Windows. W przypadkach podwójnego wymuszenia dane wyszły przez Rclone do MEGA, zanim cokolwiek zaszyfrowano.

Dwa szczegóły operacyjne warto wyciągnąć. Ransomware przygotowano w C:\PerfLogs\, katalogu, który badacze wskazują jako rzadko monitorowany przez narzędzia integralności plików. A operatorzy wyczyścili dzienniki zdarzeń Windows w całym przedsiębiorstwie za pomocą PowerShella. Czas przebywania był różny: w niektórych przypadkach najpierw prowadzono szerokie rozpoznanie, w innych szybko przechodzono od dostępu do szyfrowania w całej firmie.

Czyszczenie dzienników to część mająca konsekwencję planistyczną. Jeśli wasza rekonstrukcja incydentu opiera się na lokalnych dziennikach zdarzeń Windows, ten sprawca usuwa waszą rekonstrukcję jako krok rutynowy, a nie ozdobnik. Przesyłanie tych dzienników poza host, tam gdzie te same poświadczenia nie sięgają, to nie ulepszenie reagowania na incydenty. To różnica między posiadaniem dochodzenia a posiadaniem domysłu.

Ograniczone próby wykorzystania było prawdziwe i bezużyteczne

Zestawcie zdanie producenta z wynikiem. 3 czerwca Palo Alto Networks miało wiedzę o ograniczonych próbach wykorzystania. Pod koniec czerwca Arctic Wolf rekonstruowało włamania ransomware zaczynające się od tej samej luki. Oba stwierdzenia są prawdziwe, a pierwsze nigdy nie miało szans ostrzec was przed drugim.

Powód jest strukturalny i nie ma nic wspólnego z tym producentem. Komunikat producenta relacjonuje to, co producent widzi: sprawy, które dotarły do jego wsparcia, telemetrię klientów, którzy ją udostępniają, incydenty mu ujawnione. To prawdziwy sygnał o widoczności producenta. Nie jest to miara tego, ilu napastników posiada tę technikę, i być nią nie może, bo dystans między ograniczonymi próbami a masowym wykorzystaniem domyka się wtedy, gdy działający exploit zmienia właściciela, a nie przez cokolwiek, co robi producent.

Praktyczne tłumaczenie to nawyk, nie narzędzie. Czytajcie język o powadze jako opis tego, co dotąd zaobserwowano, a warunek wstępny jako opis waszego własnego narażenia. Tutaj warunkiem wstępnym jest powiązanie certyfikatu, które możecie sprawdzić dziś, i będzie ono prawdziwe za miesiąc, gdy język o wykorzystaniu już się przesunie.

Sprawdzenie, które zajmuje popołudnie

Zacznijcie od konfiguracji, a nie od aktualizacji, bo obejście oferowane przez Palo Alto Networks nie wymaga okna serwisowego. Otwórzcie zakładki uwierzytelniania w każdym portalu i każdej bramie GlobalProtect. Jeśli nadpisanie uwierzytelniania jest wyłączone, na tym urządzeniu nie jesteście narażeni i możecie iść dalej. Jeśli jest włączone, potwierdźcie, że certyfikat ciasteczka nadpisania służy wyłącznie temu i nie jest współdzielony z niczym innym, a tam gdzie jest, wygenerujcie nowy. Większość parków zrobi to w jedno popołudnie, i to się utrzyma niezależnie od tego, czy aktualizacja wejdzie w tym kwartale.

Potem przeprowadźcie aktualizację porządnie, gałąź po gałęzi, bo każda linia PAN-OS ma własne poprawione wydania, a nie jeden numer do zapamiętania. I najpierw rozdzielcie na papierze punkty egzekwowania: Cloud NGFW leży całkiem poza zakresem, Prisma Access ma odrębne poprawione wersje, a raport mówiący, że park jest załatany, bez tego rozróżnienia będzie błędny w jedną albo drugą stronę. Europejscy operatorzy używający tych bram jako granicy podmiotu kluczowego lub ważnego w rozumieniu NIS2 mają dodatkowo ten problem, że termin dla istotnego incydentu nie zatrzymuje się na czas mapowania parku.

Czytaj dalej: Łatanie SharePointa już nie zamyka drzwi  |  Martwy budynek kosztuje więcej niż okup