Les ransomwares Qilin et Inc exploitent toujours la faille d’authentification GlobalProtect corrigée en mai
Le 20 octobre 2026, Unit 42 confirme que les ransomwares Spikey Scorpius (Qilin) et Tarnished Scorpius (Inc) exploitent encore CVE-2026-0257, la faille d’authentification des portails GlobalProtect corrigée depuis mai. Si vous avez une passerelle PAN-OS exposée, vérifiez la version et coupez le contournement d’authentification sans attendre.
20 octobre 2026. Unit 42 publie une mise à jour de son alerte sur CVE-2026-0257, une faille d’authentification dans le portail et la passerelle GlobalProtect de PAN-OS. 13 mai 2026. La CVE entre au catalogue KEV de la CISA. 20 octobre 2026, encore. Les groupes de ransomware Spikey Scorpius (Qilin) et Tarnished Scorpius (Inc) exploitent toujours la faille, cinq mois après le correctif. Pourquoi c’est important : une passerelle VPN exposée et non patchée reste la porte d’entrée la plus rentable vers un domaine entier.
La faille : ouvrir une session VPN légitime sans s’authentifier
CVE-2026-0257 est un contournement d’authentification qui touche les composants portal et gateway de GlobalProtect, la brique d’accès distant des pare-feux Palo Alto Networks. Concrètement, un attaquant non authentifié peut contourner les contrôles et initier une connexion VPN sans disposer d’identifiants valides.
Le détail qui rend la faille si dangereuse est le cookie d’authentication override. Ce mécanisme, conçu pour permettre une session sans double authentification, peut être détourné pour neutraliser le MFA. Résultat : l’attaquant n’obtient pas un accès dégradé, mais une session VPN pleinement légitime, équivalente à celle d’un télétravailleur. Le pare-feu, lui, ne voit rien d’anormal : la connexion porte les attributs d’un utilisateur de confiance.
La CVE est classée CVSS 9.1 (critique) et son score EPSS atteint 96,9 % — c’est-à-dire qu’elle figure parmi les failles les plus susceptibles d’être exploitées dans les 30 jours. Elle a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 13 mai 2026, preuve que l’exploitation active était déjà documentée à ce moment-là.
Cinq mois entre le correctif et l’exploitation active
Le calendrier raconte une histoire que les équipes de sécurité connaissent trop bien : le patch lag. La faille est corrigée depuis mai 2026 — les branches concernées (10.2, 11.1, 11.2, 12.1 ainsi que certaines versions de Prisma Access) disposent de versions corrigées. Un proof of concept public circule depuis le 29 mai 2026. Et pourtant, le 20 octobre 2026, Unit 42 observe toujours des tentatives d’exploitation réussies.
Le 19 octobre 2026, Unit 42 a confirmé l’implication de Spikey Scorpius (alias Qilin) et Tarnished Scorpius (alias Inc), deux groupes de ransomware établis. Des signalements publics attribuent par ailleurs l’exploitation à des acteurs utilisant le ransomware Settra. Ces trois noms ne sont pas anecdotiques : ils montrent que la faille est passée du stade de la curiosité technique au catalogue d’accès initial des groupes criminels.
Le point clé, souligné par Unit 42, est que seule une faible proportion des appareils sondés établit réellement une session VPN. Mais une poignée de sessions réussies suffit : une seule passerelle exposée devient un point d’entrée, puis un pivot.
Ce que font les attaquants une fois la session ouverte
Une session VPN légitime ouvre la porte au réseau interne. Le comportement post-accès documenté par Unit 42 suit un scénario désormais classique mais redoutable.
D’abord, la reconnaissance à l’aide d’outils RMM (remote monitoring and management) : des logiciels légitimes, signés, qui se fondent dans le bruit de fond d’un parc d’entreprise. Ensuite, le déplacement latéral via RDP et SMB, et la récolte d’identifiants. Dans un cas documenté, les attaquants ont atteint vCenter, désactivé les protections ESXi, puis vidé les identifiants de domaine hors ligne depuis un fichier VMDK.
La chaîne ne s’arrête pas à la CVE elle-même : certains acteurs enchaînent avec d’autres failles, dont CVE-2023-27532, une vulnérabilité de Veeam corrigée en 2023. La leçon est double. Une faille VPN critique est rarement exploitée seule, et la présence d’une seule CVE ancienne non corrigée dans le parc suffit à prolonger la compromission jusqu’au contrôleur de domaine.
La présence d’outils RMM mérite une attention particulière. Ces agents légitimes — outils de prise en main à distance, agents de supervision du parc — sont signés, présents par défaut sur de nombreux postes et rarement bloqués par les politiques de sécurité. Un attaquant qui les détourne dispose d’un canal de persistance et de déplacement qui se fond dans l’activité normale de l’entreprise. La chasse doit donc porter non pas sur l’outil lui-même, mais sur son usage anormal : une exécution depuis un compte inhabituel, depuis un hôte du réseau visiteur, ou à des heures qui ne correspondent à aucune activité de support.
Le précédent Lunar Peak : la surface de management reste le talon d’Achille
La mise à jour d’Unit 42 ne se limite pas à la CVE. Elle rappelle un constat récurrent de ses interventions en réponse à incident, lié à la campagne Lunar Peak — les failles CVE-2024-0012 et CVE-2024-9474, exploitées fin 2024. La mauvaise configuration la plus fréquente : des équipes qui mappent les profils GlobalProtect vers les services HTTP/HTTPS de l’interface de management.
Conséquence directe : l’interface d’administration du pare-feu, censée rester inaccessible de l’extérieur, se retrouve joignable depuis l’Internet. Unit 42 recommande de vérifier que l’interface de management n’est exposée sur aucune interface externe, et de restreindre l’accès administrateur à des adresses IP dédiées ou à un réseau de gestion isolé.
C’est le second enseignement du dossier : la faille VPN est la porte, mais c’est souvent une surface de management mal configurée qui transforme un accès initial en prise de contrôle complète de l’équipement. Les deux doivent être traités dans la même passe de remédiation, pas l’un sans l’autre.
Ce qu’il faut faire maintenant
La remédiation prioritaire tient en une action, puis une vérification.
- Mettre à jour immédiatement. Passez aux versions corrigées : 12.1.7, 11.2.12, 11.1.15, 10.2.18-h6 (ou les hotfixes équivalents), ainsi que les versions correspondantes de Prisma Access. Si la mise à jour est impossible à court terme, appliquez le contournement documenté par Palo Alto Networks : désactiver l’Authentication Override.
- Chasser dans les logs GlobalProtect. Recherchez les événements gateway-connected réussis associés aux indicateurs publiés par Unit 42 : des adresses IP spécifiques, des identifiants d’hôte suspects (
aa:bb:cc:dd:ee:ff,00:11:22:33:44:55,WINDOWS-LAPTOP-001), un champdomainvide dans la configuration client, ou des valeurs codées en dur issues du PoC. - Traiter toute session réussie comme une compromission. Si une connexion gateway-connected correspond aux indicateurs, isolez l’hôte, pivotez les identifiants, et déclenchez la réponse à incident. Ne vous contentez pas de patcher : l’accès a pu être utilisé pour installer une persistance.
- Réduire la surface exposée. Inventoriez les portails GlobalProtect joignables depuis l’Internet. Une passerelle VPN d’entreprise n’a aucune raison d’être trouvable par un scanner sans autre protection.
Verdict
Si vous gérez un pare-feu PAN-OS exposé, la question n’est pas de savoir si vous êtes ciblé, mais si la version installée est postérieure à mai 2026 — vérifiez-la aujourd’hui, et coupez l’Authentication Override en attendant le correctif. Si vous supervisez un parc plus large, retenez la règle chiffrée : une faille VPN au CVSS 9.1 et à l’EPSS 96,9 %, corrigée depuis cinq mois, est encore exploitée par trois groupes de ransomware. Le patch lag n’est pas un détail de conformité, c’est le délai que vous offrez à un groupe criminel pour transformer un contournement d’authentification en contrôle de domaine.