O que é a CVE-2026-0257? (e por que o ransomware Qilin mira as VPNs)
A CVE-2026-0257 é um bypass de autenticação crítico no portal e no gateway GlobalProtect do PAN-OS da Palo Alto Networks que permite a um invasor não autenticado estabelecer uma conexão VPN válida. A Palo Alto Networks corrigiu a falha em 13 de maio de 2026. A Rapid7 relatou exploração contra vários clientes a partir de 17 de maio e a CISA incluiu a vulnerabilidade em seu catálogo de vulnerabilidades exploradas conhecidas (KEV) em 29 de maio. Em 20 de julho, a CISA a sinalizou como usada em campanhas de ransomware.
O vínculo com o ransomware vem da Arctic Wolf, que investigou várias intrusões em junho de 2026 que terminaram com o ransomware Qilin e que começaram todas com a exploração dessa falha. O Qilin é uma operação de ransomware como serviço que surgiu em agosto de 2022 com o nome Agenda e já reivindicou mais de 2.000 vítimas em seu site de vazamentos. A Arctic Wolf avalia com confiança moderada que as intrusões provavelmente continuam.
Por que isso importa para as empresas? Um gateway VPN é a porta de entrada da rede corporativa. Quando um invasor consegue abrir uma sessão válida sem credenciais, cada controle atrás dessa porta, da segmentação à proteção de endpoints, precisa conter o ataque sozinho. A Shadowserver rastreia mais de 167.000 instâncias GlobalProtect expostas e a Shodan encontrou mais de 172.000 endereços IP com a assinatura do GlobalProtect, embora nenhum dos números informe quantas estão corrigidas ou são honeypots. As implantações Panorama e Cloud NGFW não são afetadas, e o relatório de inteligência da Tenable observa que a exposição depende de configurações específicas, incluindo cookies de atalho de login combinados com uma configuração de certificado particular.
