Unit 42：PAN-OS 漏洞 CVE-2026-0257 遭勒索软件团伙利用

Palo Alto Networks 威胁研究团队 Unit 42 在 10 月 20 日更新的威胁简报中表示，PAN-OS 漏洞 CVE-2026-0257 正被勒索软件团伙积极利用，包括 Spikey Scorpius（又称 Qilin）和 Tarnished Scorpius（又称 Inc），公开报道还提到使用 Settra 勒索软件的攻击者。该漏洞是 PAN-OS 门户与网关组件中的认证绕过问题，攻击者可借此绕过安全控制并建立 VPN 连接。

Unit 42 称，攻击者利用该漏洞获得企业网络的初始立足点后，会绕过多因素认证建立 VPN 会话，进而开展内网侦察、横向移动，并最终部署勒索软件。该 CVE 已于 2026 年 5 月 13 日被列入已知被利用漏洞（KEV）目录。

漏洞与利用情况

Unit 42 同时提到，公开报道将相关利用归因于使用 Settra 勒索软件的攻击者。该简报由 Andy Piazza 署名发布，归类为高危威胁与漏洞。

该漏洞位于 PAN-OS 门户与网关组件，属于认证绕过问题。Unit 42 最初观察到身份未明的攻击者试图借此访问 GlobalProtect，成功利用后可绕过安全控制并建立 VPN 连接。

Unit 42 指出，被探测的设备中只有一小部分真正建立了 VPN 会话并产生网关连接事件。在概念验证代码于 2026 年 5 月 29 日发布之前，相关活动涉及一组特定 IP 地址，安全团队可在 GlobalProtect 日志中检索这些地址是否存在成功登录连接。

简报还提示关注可疑主机 ID 与设备名，例如 aa:bb:cc:dd:ee:ff、00:11:22:33:44:55、WINDOWS-LAPTOP-001、DESKTOP-GP01 和 GP-CLIENT。概念验证发布后的监测中，可检索硬编码客户端配置值，包括端点操作系统版本为 Microsoft Windows 10 Pro 64-bit、源用户信息域为空等特征。

攻击者的后续动作

此后典型动作包括：使用兼具正常管理与攻击用途的远程监控与管理（RMM）工具开展内网侦察，通过 RDP 和 SMB 横向移动，并为凭据窃取、数据外泄以及最终的勒索软件部署准备额外工具。

战术上最显著的变化是直接转向虚拟化层。在一起值得注意的案例中，攻击者从被攻陷的 VPN 网关移动到 vCenter 管理设备，随后在 ESXi 主机上关闭安全控制（execInstalledOnly），并使用定制工具直接针对域控制器的虚拟磁盘（VMDK）进行离线凭据转储。

Unit 42 认为，这种做法绕过了客户机内的端点检测与响应（EDR）和安全控制，属于获取全域凭据的高复杂度手法。此外，攻击者还将这一初始访问途径与其他漏洞利用工具串联，例如针对 Veeam 备份基础设施的 CVE-2023-27532，以放大影响。

Unit 42 表示，相关调查自 2026 年 6 月初持续至今，覆盖多个行业。该团队已将发现共享给 Cyber Threat Alliance（CTA）成员，以便后者快速部署防护并系统性阻断恶意活动，并称将随信息更新继续修订该简报。

受影响的行业范围

根据 Unit 42 的统计，受波及行业包括教育、金融服务、医疗保健、高科技、酒店业、制造业、专业与法律服务、政府、运输与物流、公用事业与能源，以及批发和零售。这一名单来自其自 2026 年 6 月初以来在多起调查中观察到的案例。

简报同时提到与 Lunar Peak 行动相关的应急响应工作。Unit 42 在这些响应中发现一个反复出现的错误配置：组织常将 GlobalProtect 配置文件映射到管理接口上的 HTTP/HTTPS 服务，从而在特定端口上无意间把管理接口暴露到互联网。

其中尤以 4443 和 3879 端口最为突出，且往往不为管理员所知。Unit 42 称，这一暴露风险此前已有文档记录，但 Lunar Peak 事件中该疏漏出现频率之高，促使其对官方指引做了全面更新。

在暴露面识别方面，Palo Alto Networks 的 Cortex Xpanse 可识别公网暴露的 PAN-OS 网关与 GlobalProtect 门户，并将发现上报给防御方；客户可启用 PAN-OS 设备攻击面规则以接收相关告警。

暴露风险与修复建议

针对管理接口暴露，Unit 42 给出了快速验证方法：防御者可从外部浏览器向管理 IP 地址的 4443 和 3879 端口发起带外 HTTPS 连接，以判断环境是否受影响。若连接成功，说明管理接口可能已暴露在互联网上。

修复方面，Unit 42 建议管理员查阅 Palo Alto Networks 官方关于接口管理配置文件配置的文档，以安全方式限制访问，落实最小权限原则。同时强烈建议审阅 CVE-2026-0257 的安全公告，采用可用的临时缓解措施，或升级到包含修复的版本。

Unit 42 还建议组织主动排查简报中列出的活动指标，一旦发现与这些指标相关的成功网关连接事件，即启动应急响应流程。对于疑似遭入侵或有紧急情况的组织，可联系 Unit 42 事件响应团队。

在产品防护层面，Advanced URL Filtering 与 Advanced IP Defense 可将与该活动关联的已知 IP 地址标记为恶意；Cortex XDR 与 XSIAM 通过行为威胁防护、AI 驱动的本地分析及云端恶意软件分析等引擎，阻断利用后的活动；Cortex AgentiX 可协助分析师提取并富化简报中的文件指标。

要点

• CVE-2026-0257 为 PAN-OS GlobalProtect 认证绕过漏洞
• Qilin 与 Inc 勒索软件团伙被观察到利用该漏洞
• 攻击者绕过 MFA 建立 VPN 会话后横向移动
• 该漏洞 2026 年 5 月 13 日被列入 KEV 目录
• Unit 42 建议升级至含修复的版本或采用缓解措施