I gruppi ransomware Qilin e INC stanno continuando a sfruttare una vulnerabilità di Palo Alto Networks per ottenere accesso iniziale alle reti aziendali e aggirare la multi factor authentication. Il problema riguarda PAN-OS e Prisma Access e coincide con la falla CVE-2026-0257, un difetto di bypass dell’autenticazione che consente la creazione di connessioni VPN non autorizzate.
Anche se la vulnerabilità risulta corretta tramite patch rilasciata a maggio 2026, gli attaccanti stanno ancora colpendo organizzazioni che non hanno aggiornato o che espongono configurazioni deboli, rendendo il rischio concreto per la sicurezza di rete.
Lo schema di attacco osservato parte dalla compromissione del gateway VPN. Una volta ottenuta la possibilità di stabilire una sessione VPN, gli operatori ransomware eseguono attività post-compromissione tipiche delle intrusioni mirate. Tra le azioni più frequenti ci sono la ricognizione interna con strumenti RMM legittimi ma usati in modo malevolo, il movimento laterale tramite RDP e SMB e la preparazione di tool aggiuntivi per il furto di credenziali, l’esfiltrazione dei dati e la distribuzione del ransomware. Questa catena evidenzia come un singolo punto di ingresso possa trasformarsi rapidamente in un incidente esteso, con impatti su operatività e continuità aziendale.
Le campagne attribuite a Qilin e INC hanno interessato molti settori, tra cui istruzione, finanza, sanità, alta tecnologia, ospitalità, manifattura, servizi professionali e legali, pubblica amministrazione, trasporti e logistica, utilities ed energia e retail. La diffusione cross-settore indica che la vulnerabilità viene usata come opportunità scalabile per ottenere accesso e monetizzare tramite estorsione.
Un aspetto particolarmente critico è l’evoluzione delle tecniche verso il livello di virtualizzazione. In un caso documentato, gli attaccanti sono passati dal gateway VPN compromesso alla console di gestione vCenter, poi hanno indebolito controlli di sicurezza sugli hypervisor ESXi e hanno effettuato il dumping offline delle credenziali agendo sul disco virtuale di un domain controller. Questo approccio può eludere i controlli EDR dentro le macchine virtuali e facilita l’acquisizione di credenziali con impatto sull’intero dominio.
Per ridurre il rischio servono patch tempestive, monitoraggio dei log dei gateway, ricerca di indicatori di compromissione e attivazione rapida di procedure di incident response quando emergono eventi sospetti legati a connessioni VPN.