כנופיות כופרה מנצלות חולשה במערכת ה-VPN של פאלו אלטו נטוורקס, GlobalProtect, כדי לפרוץ לארגונים, חודשים אחרי שהחולשה פורסמה ותוקנה. לפי Cybersecurity Dive, יחידת המחקר Unit 42 של פאלו אלטו עצמה זיהתה את הכנופיות Qilin ו-INC, ו-ReliaQuest קישרה לפעילות גם קבוצה בשם Settra.
החולשה
החולשה, CVE-2026-0257, מאפשרת לעקוף את האימות בשער ה-VPN, ופוגעת בכמה גרסאות של מערכת ההפעלה PAN-OS. היא פורסמה ב-13 במאי, ובסוף מאי נוספה לרשימת החולשות המנוצלות של סוכנות הסייבר האמריקאית CISA. פאלו אלטו דירגה אותה בתחילה בחומרה בינונית, ורק אחר כך העלתה את הדירוג.
איך המתקפה מתפתחת
אחרי החדירה, התוקפים משתמשים בכלי ניהול לגיטימיים כדי לסייר ברשת, לעבור בין מחשבים, לגנוב סיסמאות ומידע, ורק בסוף מפעילים את הכופרה. לפי Arctic Wolf, כמה "שותפים" שונים שפועלים במודל הכופרה-כשירות של Qilin מנצלים את החולשה, ולא קבוצה מתואמת אחת.
מה לעשות
לפי ReliaQuest, הניצול "סביר מאוד" שיימשך בשלושת החודשים הקרובים. ארגונים שמשתמשים ב-GlobalProtect צריכים לוודא שהעדכון הותקן, ולפי הנחיות פאלו אלטו, גם לנתק את כל החיבורים הפעילים אחרי העדכון ולבטל עוגיות אימות שאין בהן צורך. פאלו אלטו, שהקים הישראלי ניר צוק ושרכשה את סייברארק הישראלית, היא אחת מספקיות אבטחת הרשת הגדולות בעולם.
