Fonctionnement actif de CVE 2026 0257 dans PAN OS et GlobalProtect ouvre des portes au réseau interne

Palo Alto Networks a confirmé qu'une vulnérabilité d'authentification dans PAN-OS et Prisma Access, enregistrée comme CVE-2026-0257(CVSS 7.8), est activement exploité pour établir des connexions VPN non autorisées via GlobalProtect. La fonction spécifique à risque est la "surpasse d'authentification" lorsqu'elle est activée sur des portails ou des passerelles et il y a une combinaison spécifique de certificats; dans ces conditions, les attaquants peuvent dessiner les contrôles et obtenir des sessions VPN valides sur le réseau interne.

L'important, au-delà du score moyen-élevé de la CVE, est la confirmation de l'exploitation dans des environnements réels: Rapid7 a documenté des engagements réussis à partir du 17 mai et une deuxième vague le 21 mai attribuée au même acteur, et Palo Alto Networks a mis à jour son avis en détectant des tentatives limitées sur des appareils non équipés. Dans au moins deux cas signalés, l'opération a permis l'attribution d'IP VPN après avoir traité le cookie d'authentification et donc l'accès aux ressources nationales, bien qu'aucune activité de suivi n'ait été signalée à ce jour dans ces environnements particuliers.

Cet incident s'inscrit dans une tendance plus large : les applications aux frontières et les solutions de gestion des paramètres sont de plus en plus ciblées sur les chaînes d'attaque visant à obtenir un accès initial et à déployer des voleurs de lettres de créances. Par exemple, l'opération récente d'un échec dans FortiClient EMS (CVE-2026-35616, CVSS 9.1) a été utilisée pour distribuer le malware d'identification EKZ Infosealer, qui souligne que l'accès VPN compromis peut être la première étape pour les campagnes d'exfiltration et le mouvement latéral. La base de données NVD est disponible pour les références officielles sur ces QE: CVE-2026-0257 et CVE-2026-35616 ainsi que les communications du fournisseur sur son portail de sécurité Palo Alto Networks Security Advisory.

Les implications pour une organisation avec des appareils affectés sont claires : un contournement d'authentification sur un VPN frontalier implique un risque direct pour la confidentialité et l'intégrité du réseau interne. Même si l'acteur n'effectue pas d'activité supplémentaire après l'obtention de la session, la simple capacité d'établir un VPN permet d'explorer des services internes, de tester des identifiants ou de déployer des outils de reconnaissance qui facilitent les attaques subséquentes.

Des recommandations pratiques immédiates devraient donner la priorité à la médiation et à la détection. Par ordre d'urgence, les organisations doivent appliquer les correctifs officiels des fournisseurs dès qu'ils sont disponibles et validés; si cela ne peut être fait immédiatement, elles doivent: désactiver la fonction de remplacement de l'authentification ou, à titre de mesure d'atténuation alternative, générer un nouveau certificat qui est utilisé exclusivement pour la fonction de remplacement et supprimer le certificat précédent de toute utilisation générale. De plus, il est essentiel d'examiner les dossiers GlobalProtect pour identifier les sessions inhabituelles, corréler les affectations IP VPN avec une connexion légitime et rechercher des signes d'accès non autorisés.

D'un point de vue défensif plus large, ce type d'incident force à renforcer les contrôles : mettre en place une authentification multifactorielle robuste pour l'accès VPN, la segmentation du réseau pour limiter ce qu'une session compromise peut réaliser, des politiques de confiance zéro dans les capacités d'accès et de détection à distance dans les terminaux et les réseaux pour identifier un comportement anormal après une session. De plus, les équipes d'intervention devraient avoir des procédures pour isoler les dispositifs potentiellement compromis, préserver les preuves et effectuer des analyses médico-légales si une activité latérale ou une infiltration est détectée.

Pour les responsables de la sécurité et du fonctionnement, la leçon est double : d'une part, maintenir un programme de patching agile et, d'autre part, supposer que les vulnérabilités dans les dispositifs de bord seront exploitées rapidement, de sorte que l'atténuation compensatoire, la télémétrie centralisée et les exercices de réponse sont essentiels. Enfin, la transparence des rapports au reste de l'organisation sur la nécessité d'une rotation des pouvoirs et sur les mesures d'atténuation appliquées aide à réduire le champ d'exposition et à coordonner une intervention efficace.