Exploração ativa de CVE 2026 0257 na PAN OS e GlobalProtect abre portas à rede interna

Palo Alto Networks confirmou que uma vulnerabilidade de autenticação na PAN-OS e Prisma Access, registrada como CVE-2026-0257(CVSS 7.8) está sendo ativamente explorada para estabelecer conexões VPN não autorizadas através do GlobalProtect. A característica concreta em risco é a chamada "authentication override" quando está ativada em portais ou gateways e existe uma combinação específica de certificados; nessas condições os atacantes podem sortear os controles e obter sessões VPN válidas para a rede interna.

O relevante, além do escore médio-alto do CVE, é a confirmação de exploração em ambientes reais: Rapid7 documentou compromissos bem-sucedidos a partir de 17 de maio e uma segunda onda em 21 de maio atribuída ao mesmo ator, e Palo Alto Networks atualizou seu aviso ao detectar tentativas limitadas em dispositivos sem adesivo. Em pelo menos dois casos relatados, a exploração permitiu a alocação de IP de VPN após manipular o cookie de autenticação e, portanto, acesso a recursos internos, embora até o momento não tenham sido relatadas atividades de rastreamento nesses ambientes particulares.

Este incidente se encaixa numa tendência mais ampla: os appliances de borda e as soluções de gestão de endpoints são objetivos cada vez mais frequentes para cadeias de ataque voltadas para o acesso inicial e a implantação de ladrões de credenciais. Por exemplo, a exploração recente de uma falha em FortiClient EMS (CVE-2026-35616, CVSS 9.1) foi utilizada para distribuir o malware ladrão de credenciais EKZ Infostealer, o que sublinha que o acesso VPN comprometido pode ser o primeiro passo para campanhas de exfiltração e movimento lateral. Para referências oficiais sobre estes CVE, consultar a base de dados NVD: CVE-2026-0257 e CVE-2026-35616, assim como os comunicados do fornecedor em seu portal de segurança Palo Alto Networks Security Advisory.

As implicações para uma organização com dispositivos afetados são claras: um bypass de autenticação em um VPN de borda implica risco direto sobre a confidencialidade e integridade da rede interna. Mesmo que o ator não faça atividade adicional após obter a sessão, a mera capacidade de estabelecer uma VPN permite explorar serviços internos, testar credenciais, ou implantar ferramentas de reconhecimento que facilitam ataques posteriores.

As recomendações práticas imediatas devem priorizar a remediação e a detecção. Por ordem de urgência, as organizações devem aplicar os adesivos oficiais do fornecedor logo que estejam disponíveis e validados; se isso não puder ser feito imediatamente, deve ser aplicado. desactivar a função de authentication override ou, como mitigação alternativa, gerar um novo certificado que seja utilizado exclusivamente para a função de override e remover o certificado prévio de qualquer utilização geral. Complementariamente, é crítico revisar os registros do GlobalProtect para identificar sessões incomuns, correlacionar as designações de IP de VPN com logins legítimos e buscar sinais de acesso não autorizado.

De um ponto de vista defensivo mais amplo, este tipo de incidentes obriga a reforçar controles: implementar autenticação multifator robusta para acessos VPN, segmentação de redes para limitar o que uma sessão comprometida pode alcançar, políticas de zero confiança em acesso remoto e capacidades de detecção em endpoints e redes para identificar comportamento anormal após a concessão de uma sessão. Além disso, os equipamentos de resposta devem ter procedimentos para isolar dispositivos potencialmente comprometidos, preservar evidências e executar análises forenses se for detectada atividade lateral ou exfiltração.

Para os responsáveis pela segurança e operação, a lição é dupla: por um lado, manter um programa ágil de adesivo e, por outro, assumir que as vulnerabilidades em dispositivos de borda serão rapidamente exploradas, pelo que as mitigações compensatórias, a telemetria centralizada e os exercícios de resposta são imprescindíveis. Finalmente, comunicar de forma transparente ao resto da organização sobre a necessidade de rotação de credenciais e medidas de mitigação aplicadas ajuda a reduzir a janela de exposição e a coordenar uma resposta eficaz.