Qilin i INC zaobilaze MFA preko propusta u PAN-OS-u
Palo Alto Networks upozorava da grupe koje koriste ransomware, Spikey Scorpius poznata kao Qilin i Tarnished Scorpius poznata kao INC, aktivno zloupotrebljavaju CVE-2026-0257 u rešenjima PAN-OS i Prisma Access. Propust za zaobilaženje autentifikacije, ocenjen sa CVSS 7,8, može napadačima omogućiti uspostavljanje neovlašćene VPN veze i zaobilaženje višefaktorske autentifikacije.
Palo Alto Networks je ispravku objavio u maju 2026. godine, dok je američka Agencija za sajber bezbednost i bezbednost infrastrukture, CISA, ranjivost 13. maja dodala u katalog Known Exploited Vulnerabilities. Naknadna zapažanja Unit 42 potvrđuju da se propust i dalje koristi u napadima ransomware aktera.
VPN pristup kao početna tačka napada
Prema nalazima Unit 42, napadači propust koriste za početni ulazak u poslovnu mrežu. Nakon što uspostave VPN sesiju, koriste alate za daljinsko upravljanje i nadzor koji imaju legitimnu namenu kako bi sproveli interno izviđanje mreže.
Slede bočno kretanje preko protokola RDP i SMB, postavljanje dodatnih alata za prikupljanje akreditiva, iznošenje podataka i raspoređivanje ransomwarea. Kampanje su pogodile više sektora, među kojima su obrazovanje, finansijske usluge, zdravstvo, visoka tehnologija, ugostiteljstvo, proizvodnja, pravne i profesionalne usluge, javna uprava, transport, logistika, komunalne delatnosti, energetika i maloprodaja.
Napad se pomera na sloj virtuelizacije
Unit 42 posebno izdvaja prelazak sa kompromitovanog VPN prolaza na vCenter upravljački uređaj. U jednom zabeleženom slučaju napadači su na ESXi hipervizorima isključili bezbednosnu kontrolu execInstalledOnly, a zatim prilagođenim alatom izveli izdvajanje akreditiva bez pokretanja sistema, direktno nad virtuelnim diskom VMDK kontrolera domena.
Takav postupak zaobilazi EDR i druge zaštite koje rade unutar gostujućeg operativnog sistema, pa napadačima može otvoriti put do akreditiva na nivou domena. Zabeleženo je i povezivanje početnog pristupa sa alatima za iskorišćavanje drugih propusta, uključujući napade na Veeam rezervnu infrastrukturu preko CVE-2023-27532.
Operativni prioriteti za organizacije
Qilinovo korišćenje CVE-2026-0257 bilo je zapaženo već u julu 2026. godine, pri čemu su napadi varirali od brzog šifrovanja do operacija dvostruke ucene. Sadašnja upozorenja potvrđuju da zakrpljeni propust može ostati važna ulazna tačka kada ažuriranja nisu primenjena.
Praktičan zaključak je da organizacije treba da primene najnovije ispravke za PAN-OS i Prisma Access, proaktivno potraže indikatore kompromitacije i aktiviraju procedure odgovora na incident kada otkriju uspešno povezivanje preko ugroženog mrežnog prolaza.