Kritiek lek in PAN-OS zet deuren open voor hackers
Ransomware-groeperingen waaronder Spikey Scorpius (Qilin), Tarnished Scorpius (Inc) en Settra maken op grote schaal actief misbruik van een kritieke kwetsbaarheid in Palo Alto Networks PAN-OS. Dat meldt Unit 42, de dreigingsdienst van Palo Alto Networks, in een bijgewerkte threat brief. Het omvat een omzeiling van de authenticatie in de GlobalProtect-portal en gateway-componenten van PAN-OS (CVE-2026-0257).
Het lek stelt kwaadwillenden in staat om beveiligingscontroles en meervoudige authenticatie (MFA) te omzeilen en ongeautoriseerde vpn-verbindingen op te zetten. Hoewel de kwetsbaarheid al in mei 2026 werd toegevoegd aan de Known Exploited Vulnerability (KEV)-catalogus van de CISA, waarschuwt Unit 42 dat de aanvallen recent sterk zijn geëscaleerd en zich uitstrekken over vrijwel alle sectoren, van de financiële dienstverlening en zorg tot de productiesector en overheden.
Aanvalsketen via de virtualisatielaag
Aanvallers gebruiken de vpn-toegang als eerste stap om binnen te dringen. Vervolgens voeren ze interne netwerkverkenningen uit met legitieme remote monitoring and management (RMM)-tools en bewegen ze zich via RDP en SMB verder door het netwerk.
Een opvallende evolutie in de tactieken van de hackers is dat zij na de inbraak direct doorschakelen naar de virtualisatielaag. In waargenomen incidenten bewogen de aanvallers vanaf de gecompromitteerde vpn-gateway naar de vCenter-beheeromgeving. Daar schakelden ze beveiligingsinstellingen op ESXi-hypervisors uit en gebruikten ze gespecialiseerde tools om inloggegevens rechtstreeks uit de virtuele schijven (VMDK) van Active Directory Domain Controllers te trekken. Deze methode omzeilt traditionele endpoint detection and response (EDR)-beveiliging binnen de virtuele machines.
Misconfiguratie vergroot risico
Unit 42 wijst daarnaast op een veelvoorkomende misconfiguratie bij organisaties. Beheerders koppelen regelmatig GlobalProtect-profielen aan HTTP/HTTPS-diensten op de beheerinterface (management interface). Hierdoor wordt de beheeromgeving onbedoeld blootgesteld aan het openbare internet via poorten zoals 4443 en 3879.
Palo Alto Networks roept organisaties dringend op om GlobalProtect-logs te controleren op specifieke indicators of compromise (IoC's), zoals verdachte host-ID's en IP-adressen, en direct noodinterventieprotocollen (IR) te starten bij verdachte gebeurtenissen. Daarnaast worden beheerders geadviseerd de beschikbaar gestelde patches voor PAN-OS toe te passen en de toegang tot beheerinterfaces strikt af te schermen.
