De Qilin ransomware-groep maakt misbruik van een kritieke authenticatie-omzeilingsfout in de PAN-OS GlobalProtect VPN van Palo Alto Networks om netwerken van slachtoffers binnen te dringen, meldt cybersecuritybedrijf Arctic Wolf. Palo Alto Networks heeft de kwetsbaarheid, geregistreerd als CVE-2026-0257, op 13 mei gepatcht. Na een rapport van Rapid7 dat vanaf 17 mei meerdere exploitatiepogingen bij klanten constateerde, waarschuwde Palo Alto dat aanvallers de fout actief inzetten om onbevoegde VPN-verbindingen op te zetten.

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) voegde de kwetsbaarheid op 29 mei toe aan haar Known Exploited Vulnerability-catalogus en gaf federale instanties drie dagen de tijd om hun GlobalProtect VPN-omgevingen te beveiligen. Arctic Wolf Labs rapporteert dat in juni meerdere aanvallen zijn waargenomen waarbij de kwetsbaarheid werd misbruikt om Qilin ransomware te verspreiden over volledige domeinen. Uit onderzoek blijkt dat verschillende Qilin-affiliates de fout gebruiken om netwerken te compromitteren.

Volgens Arctic Wolf varieert de aanpak na de exploitatie van de kwetsbaarheid van snelle encryptieoperaties tot volledige double-extortion tactieken, wat wijst op meerdere actoren binnen het Qilin Ransomware-as-a-Service (RaaS) model. Het bedrijf schat met matige zekerheid in dat de aanvallen nog steeds gaande zijn, mede door de uitgebreide scanactiviteiten en het verspreiden van exploits onder affiliates.

De internetbeveiligingsorganisatie Shadowserver volgt momenteel meer dan 167.000 online zichtbare GlobalProtect VPN-instanties, terwijl Shodan meer dan 172.000 IP-adressen met een GlobalProtect fingerprint heeft gevonden. Het is echter onduidelijk hoeveel hiervan honeypots zijn of al gepatcht tegen CVE-2026-0257.

Qilin is een Ransomware-as-a-Service operatie die sinds augustus 2022 actief is onder de naam "Agenda" en meer dan 2.000 slachtoffers op haar darkweb-lekpagina heeft staan. Onder de slachtoffers bevinden zich grote organisaties zoals Nissan, Yangfeng, Asahi, Synnovis, Lee Enterprises en Court Services Victoria in Australië. Palo Alto Networks-producten worden wereldwijd door meer dan 70.000 klanten gebruikt, waaronder de meeste grote Amerikaanse banken en 90% van de Fortune 10-bedrijven.