Cztery dni. Tyle wystarczyło, żeby z „medium severity, brak eksploatacji” zrobiło się „atakowane, najwyższy priorytet”

Jeśli masz PAN-OS z włączonym GlobalProtect portal lub gateway — sprawdź teraz dwie rzeczy naraz: czy włączona jest funkcja authentication override, i czy certyfikat szyfrujący cookie override jest współdzielony z inną funkcją. Jeśli oba warunki są spełnione, jesteś podatny. Mitygacja: wyłącz authentication override albo wygeneruj nowy certyfikat używany wyłącznie do tej funkcji. Łatki są od 13 maja. Termin CISA dla agencji federalnych minął 1 czerwca.

Sygnał kompromitacji w logach: uwierzytelnienie metodą „Cookie" do konta lokalnego administratora z adresów IP hostowanych przez Vultr lub Dromatics Systems, oraz spoofowany MAC aa:bb:cc:dd:ee:ff.

13 maja Palo Alto Networks opublikował advisory dla CVE-2026-0257 — obejście uwierzytelnienia w GlobalProtect portal i gateway. Ocena: medium severity. Status: firma nie była świadoma złośliwej eksploatacji w tym czasie. Western Illinois University

17 maja — cztery dni później — Rapid7 MDR zaobserwował pierwszą falę aktywnej eksploatacji.

29 maja Palo Alto zaktualizował advisory: CVSS podniesiony do 7.8, dojrzałość exploita oznaczona jako „attacked", najwyższy priorytet pilności. Tego samego dnia CISA dodała podatność do katalogu KEV z terminem naprawy dla agencji federalnych na 1 czerwca. Western Illinois University

Cztery dni od „medium, brak eksploatacji" do „atakowane w środowiskach klientów". To jest dokładnie to okno, o którym pisaliśmy przez cały maj — i które Radar #2 postawił jako tezę czerwca: czas między ujawnieniem a eksploatacją liczy się w dniach, czasem w godzinach.

Jak działa atak

CVE-2026-0257 to obejście uwierzytelnienia sklasyfikowane jako CWE-565 — poleganie na cookies bez walidacji i kontroli integralności. Mechanizm jest dokładnie tym, co opisuje nazwa klasy błędu. Cybersecurity-review

GlobalProtect ma funkcję authentication override — cookie, które pozwala użytkownikowi pominąć ponowne uwierzytelnienie. To cookie jest szyfrowane certyfikatem. Podatność powstaje, gdy ten sam certyfikat jest współdzielony z inną funkcją systemu — wtedy atakujący, który zna strukturę certyfikatu, może sfałszować ważne cookie override bez znajomości żadnych poświadczeń.

Proces eksploatacji jest wysoce zautomatyzowany — wykorzystuje skrypt PoC do iterowania przez łańcuchy certyfikatów i fałszowania cookies dla wielu kont użytkowników. Atakujący nie zgaduje hasła. Generuje ważne cookie uwierzytelniające, przedstawia je gatewayowi, i gateway przyznaje połączenie VPN do sieci wewnętrznej. Hendryadrian

Atakujący celowali w konto lokalnego administratora, skutecznie uwierzytelniając się do gatewayów GlobalProtect i ustanawiając nieautoryzowane tunele VPN do sieci korporacyjnych. Mean CEO's BLOG

Dwie fale, jeden aktor

Rapid7 udokumentował dwie odrębne fale — i sposób, w jaki je powiązał, jest wart odnotowania.

Pierwsza fala zaczęła się 17 maja z infrastruktury Vultr. Druga fala 21 maja pochodziła od dostawcy hostingu Dromatics Systems. Różni dostawcy, różne adresy IP — ale spójny spoofowany adres MAC (aa:bb:cc:dd:ee:ff) w wielu incydentach pozwolił Rapid7 stwierdzić, że obie fale pochodzą prawdopodobnie od tego samego aktora. Mean CEO's BLOG + 2

Obserwowana aktywność nie mapuje się obecnie na konkretną grupę APT, ale użycie spójnych adresów MAC i wzorców ataku sugeruje pojedynczego aktora lub zestaw narzędzi używany w różnych incydentach. Hostnamey klientów — DESKTOP-GP01, GP-CLIENT — i tani, łatwo dostępny hosting wskazują na operację oportunistyczną. Głównym celem atakujących wydaje się dostęp początkowy — prawdopodobnie do dalszej eksploatacji, ruchu bocznego lub sprzedaży innym podmiotom (brokerom dostępu początkowego). HendryadrianHendryadrian

To jest istotny szczegół: w pierwszej fali nie zaobserwowano ruchu bocznego ani dalszej aktywności po eksploatacji. Atakujący zdobywa dostęp do sieci wewnętrznej i — przynajmniej na razie — nic więcej nie robi. To jest wzorzec brokera dostępu: zdobądź wejście, sprzedaj je dalej. Hendryadrian

Dlaczego to jest gorsze, niż mówi ocena

Rapid7 zrobił coś nietypowego: choć podatność nie daje zdalnego wykonania kodu na samym firewallu, Rapid7 zaapelował, by traktować ją poważniej, niż sugeruje przypisana ocena severity. Western Illinois University

Powód jest w naturze tego, co atakujący zyskuje. Atakujący osiągnęli dostęp na poziomie sieci równoważny każdemu uwierzytelnionemu użytkownikowi VPN — co daje przyczółek do dalszego rozpoznania i przygotowania ataku. Nie ma RCE na firewallu, ale jest pełny, legalny z punktu widzenia systemu dostęp do sieci wewnętrznej. Z perspektywy obrońcy atakujący wygląda jak pracownik łączący się przez VPN. Mean CEO's BLOG

Jest tu jedno zdanie z analizy CSO Online, które łączy ten incydent z szerszą zmianą architektoniczną. Brian Grover z Rapid7: „Zero trust nie wyeliminował perymetru — przeniósł go." Western Illinois University

To jest sedno. Organizacje, które wdrożyły architekturę zero trust, zakładają, że nie polegają już na perymetrze — że każde żądanie jest weryfikowane niezależnie od tego, skąd pochodzi. Ale GlobalProtect gateway jest punktem, w którym zaufanie jest przyznawane. Obejście uwierzytelnienia na tym gateway oznacza, że atakujący wchodzi do środka jako zweryfikowany użytkownik — a cała reszta architektury zero trust traktuje go odtąd jak swojego.

Drugi PAN-OS w niespełna miesiąc

To jest druga krytyczna podatność w PAN-OS, którą cyberflux opisuje w ciągu kilku tygodni. CVE-2026-0300 — buffer overflow w User-ID Authentication Portal, eksploatowany przez grupę państwową przez miesiąc przed ujawnieniem.

Dwie podatności, dwa różne komponenty (User-ID portal vs GlobalProtect), dwa różne profile atakującego (państwowy APT vs oportunistyczny broker dostępu). Wspólny mianownik: urządzenie brzegowe sieci jako cel. Pisaliśmy przy CVE-2026-0300, że urządzenia brzegowe — firewalle, VPN gateways, routery — są pierwszą linią ochrony i jednocześnie najgorzej monitorowanym elementem infrastruktury. EDR rzadko działa na sprzęcie sieciowym, logi często nie trafiają do SIEM.

Jest też ironia, której nie sposób pominąć. Palo Alto przez maj był bohaterem narracji o AI po stronie obrońcy — 75 luk znalezionych własnym AI, reskan całego portfolio, Lee Klarich mówiący o oknie trzech-pięciu miesięcy. A jednocześnie atakujący eksploatują dwie osobne podatności w jego własnych produktach. To nie jest zarzut wobec Palo Alto — to jest opis środowiska, w którym firma inwestująca w AI do skanowania własnego kodu nadal ma dziury, których AI nie znalazło, atakowane przez aktorów, którzy też mają coraz lepsze narzędzia.

Co zrobić

Łatki są dostępne od 13 maja. Jeśli jeszcze nie zaktualizowałeś, a masz GlobalProtect z authentication override i współdzielonym certyfikatem — zakładaj, że jesteś w oknie aktywnego skanowania.

Natychmiastowa mitygacja bez łatki: wyłącz authentication override albo wygeneruj nowy certyfikat używany wyłącznie do tej funkcji. To eliminuje wektor.

Przeszukaj logi pod kątem uwierzytelnień metodą „Cookie" do konta lokalnego administratora, połączeń z Vultr i Dromatics Systems, oraz spoofowanego MAC aa:bb:cc:dd:ee:ff. Jeśli znajdziesz przypisanie IP VPN następujące po uwierzytelnieniu cookie — atakujący był w środku sieci.

Źródła

Rapid7 — pierwotna analiza dwóch fal eksploatacji z IOC i regułami detekcji: https://www.rapid7.com/blog/post/etr-rapid7-observed-exploitation-of-pan-os-globalprotect-authentication-bypass-vulnerability-cve-2026-0257/

SecurityWeek — oś czasu od 13 maja i szczegóły dostawców hostingu: https://www.securityweek.com/recent-palo-alto-networks-vulnerability-exploited-for-weeks/

CSO Online — cytat „zero trust przeniósł perymetr" i kontekst architektoniczny: https://www.csoonline.com/article/4179847/attackers-exploit-palo-alto-globalprotect-flaw-days-after-disclosure.html

The Hacker News — szczegóły konfiguracji podatnej i aktualizacja advisory: https://thehackernews.com/2026/05/pan-os-globalprotect-authentication.html

Rescana — analiza automatyzacji PoC i profilu atakującego: https://www.rescana.com/post/active-exploitation-alert-palo-alto-networks-pan-os-globalprotect-authentication-bypass-vulnerability-cve-2026-0257