Qilin e INC siguen explotando una falla de GlobalProtect, la VPN de Palo Alto Networks, para evadir la autenticación multifactor y entrar en redes empresariales, según Unit 42. El problema ya tiene correcciones, pero los ataques continúan en instalaciones expuestas.
El problema, identificado como CVE-2026-0257, afecta al portal y la puerta de enlace de GlobalProtect en PAN-OS y a Prisma Access. El aviso del fabricante precisa que la exposición requiere tener habilitadas las cookies que permiten reutilizar una autenticación previa, junto con una configuración específica de certificados. Cloud NGFW y Panorama quedan fuera del alcance descrito.
Palo Alto Networks publicó el aviso el 13 de mayo de 2026. CISA, la agencia de ciberseguridad de Estados Unidos, incorporó la falla a su catálogo de vulnerabilidades explotadas el 29 de mayo, según el comunicado de la propia agencia.
Los atacantes llegan a la infraestructura virtual
En su actualización del 19 de octubre, Unit 42 describe un caso en el que los intrusos pasaron de la VPN a vCenter, la plataforma que administra infraestructura virtual. Después desactivaron protecciones en servidores ESXi y extrajeron credenciales del disco virtual de un controlador de dominio, encargado de gestionar las identidades de la red.
La lectura del disco se hizo fuera de la máquina virtual. Según la firma, ese método evita los controles de detección y respuesta que se ejecutan dentro de ella.
ReliaQuest añade un problema de visibilidad: una conexión maliciosa a través de la VPN de la empresa puede parecer trabajo remoto legítimo. En su aviso del 9 de octubre, la firma vinculó la explotación con Qilin y Settra.
La respuesta abarca las sesiones y los sistemas internos
El parche cambia la generación de las cookies y obliga a los usuarios a autenticarse de nuevo una vez tras la actualización, explica Palo Alto Networks. El fabricante pide actualizar todos los portales y puertas de enlace que generen o acepten esas cookies, incluidos los componentes locales de despliegues híbridos con Prisma Access.
ReliaQuest recomienda terminar todas las sesiones activas de GlobalProtect después del parche e investigar conexiones inesperadas. También aconseja desactivar esas cookies cuando no sean necesarias. La firma advierte que actualizar puede dejar sin resolver accesos establecidos antes de la corrección.
En conjunto, los avisos apuntan a dos tareas: aplicar el parche e investigar los accesos previos a los sistemas internos. Unit 42 recomienda activar la respuesta a incidentes ante conexiones exitosas vinculadas a los indicadores de la campaña.
