Qilin и INC обходят MFA через уязвимость PAN-OS и Prisma Access
Palo Alto Networks сообщила о продолжающейся эксплуатации уязвимости CVE-2026-0257 в PAN-OS и Prisma Access операторами вымогательского ПО Qilin и INC. Ошибка с оценкой CVSS 7,8 позволяет создать несанкционированное VPN-подключение и обойти механизмы многофакторной аутентификации.
Проблему исправили в мае 2026 года, а 13 мая Агентство США по кибербезопасности и защите инфраструктуры внесло её в каталог Known Exploited Vulnerabilities. Несмотря на выпуск исправлений, Palo Alto Networks продолжает наблюдать атаки с её использованием.
Как развивается атака
Исследователи Unit 42 связывают эксплуатацию CVE-2026-0257 с группами Spikey Scorpius, также известной как Qilin, и Tarnished Scorpius, известной как INC. ReliaQuest несколькими днями ранее сообщала об активности Qilin и Settra, использовавших этот же недостаток в финансово мотивированных атаках.
Получив начальный доступ, злоумышленники обходят MFA и устанавливают VPN-сессию. Затем они проводят разведку внутренней сети с помощью легитимных средств удалённого мониторинга и управления, перемещаются между системами через RDP и SMB, а также размещают инструменты для сбора учётных данных, эксфильтрации данных и развёртывания шифровальщика.
Переход к виртуализационной инфраструктуре
Unit 42 отмечает важное изменение тактики после успешной эксплуатации: прямой переход к уровню виртуализации. В одном из расследованных случаев атакующие скомпрометировали VPN-шлюз, затем получили доступ к управляющему устройству vCenter.
Из vCenter они отключили параметр безопасности execInstalledOnly на гипервизорах ESXi и применили собственный инструмент для автономного извлечения учётных данных непосредственно из виртуального диска VMDK контроллера домена. Такой способ обходит EDR и другие защитные средства, работающие внутри гостевой операционной системы, и может дать злоумышленникам учётные данные масштаба домена.
Также наблюдались попытки объединить этот вектор первоначального доступа с эксплуатацией известных уязвимостей в инфраструктуре резервного копирования Veeam, включая CVE-2023-27532. Целями кампаний становились организации из образования, финансового сектора, здравоохранения, высокотехнологичной отрасли, гостиничного бизнеса, производства, госструктур, транспорта, энергетики и розницы.
Что проверить организациям
Palo Alto Networks рекомендует установить актуальные исправления для затронутых продуктов, проактивно искать признаки компрометации и запускать процедуры реагирования при обнаружении успешных подключений через шлюз. Отдельного внимания требуют журналы VPN, доступ к vCenter, изменения параметров ESXi и активность RMM-инструментов, RDP и SMB после VPN-сессий.
Для бизнеса ключевой вывод состоит в том, что наличие MFA на удалённом доступе не компенсирует непропатченный VPN-шлюз: обновление PAN-OS и Prisma Access, проверка следов входа и готовность к реагированию необходимы для ограничения дальнейшего продвижения атакующих по сети.