Bypass em VPN PAN-OS é explorado ativamente (CVE-2026-0257)

Como o ataque funciona

Uma vulnerabilidade de bypass de autenticação no PAN-OS da Palo Alto Networks, rastreada como CVE-2026-0257 (CVSS 7.8), está sendo explorada ativamente por invasores que conseguem estabelecer conexões VPN não autorizadas via GlobalProtect. A CISA adicionou a falha ao seu catálogo KEV em 29 de maio de 2026, exigindo correção urgente até 1º de junho para agências federais dos Estados Unidos.

A falha reside no recurso de “authentication override” do GlobalProtect, que permite ao portal e gateway emitir cookies de sessão a usuários autenticados — funcionando como um token bearer. O problema ocorre quando o certificado usado para criptografar esses cookies é compartilhado com outro serviço, como o HTTPS do portal. Como o processo de descriptografia no binário /usr/local/bin/gpsvc não verifica a assinatura após descriptografar o cookie, qualquer atacante que consiga recuperar a chave pública do certificado HTTPS exposto pode forjar um cookie de autenticação válido e bypassar a autenticação por completo.

O ataque não requer credenciais ou interação do usuário. Basta que o firewall tenha o portal ou gateway GlobalProtect configurado com authentication override habilitado e um certificado compartilhado entre serviços.

Ondas de exploração detectadas

A Rapid7 identificou a primeira onda de exploração em 17 de maio de 2026, quatro dias após a divulgação do advisory pela Palo Alto Networks. Os ataques originaram-se de IPs hospedados na provedora Vultr. No dia seguinte, a Rapid7 detectou autenticações suspeitas via cookie em contas de administrador local em múltiplos ambientes de clientes. O invasor utilizou o nome de máquina GP-CLIENT e um endereço MAC falsificado (aa:bb:cc:dd:ee:ff).

Uma segunda onda ocorreu em 21 de maio, proveniente da provedora Dromatics Systems, com o nome de máquina DESKTOP-GP01. Nesta fase, algumas vítimas receberam atribuição completa de IP VPN após a autenticação via cookie forjado, concedendo ao atacante acesso direto à rede interna. O mesmo MAC falsificado em ambas as ondas indica um único grupo responsável.

Dos 10 clientes MDR afetados observados pela Rapid7, 8 sofreram apenas sondagens de autenticação, sem estabelecimento de sessão VPN completa.

Versões corrigidas do PAN-OS

A Palo Alto Networks disponibilizou correções para todas as versões afetadas do PAN-OS e Prisma Access. A atualização deve ser tratada como prioridade crítica, especialmente em firewalls expostos à internet com GlobalProtect habilitado.

Mitigações e recomendações urgentes

Se a atualização imediata não for possível, a Palo Alto Networks recomenda duas mitigações temporárias: desabilitar o recurso de authentication override, caso não seja operacionalmente necessário, ou gerar um certificado dedicado exclusivamente para a criptografia dos cookies de authentication override — jamais compartilhado com o serviço HTTPS do portal ou gateway.

Equipes de segurança devem buscar os indicadores de comprometimento listados acima nos logs de autenticação VPN e GlobalProtect. A Rapid7 disponibilizou regras de detecção para InsightIDR e MDR, incluindo alertas para “autenticação suspeita via cookie em conta de administrador local”. Um script de prova de conceito já circula publicamente, o que amplia o risco de exploração por grupos adicionais.

Verifique se o firewall está configurado com authentication override habilitado. Se sim, confirme se o certificado em uso é dedicado e não compartilhado com nenhum outro serviço. Monitore logs de sessões VPN originadas de nomes de máquina ou MACs suspeitos.

Fontes

• The Hacker News — PAN-OS GlobalProtect Authentication Bypass Under Active Exploitation
• Cyber Security News — PAN-OS Authentication Vulnerability Bypass Exploited
• Rapid7 — Observed Exploitation of CVE-2026-0257
• Palo Alto Networks — Advisory CVE-2026-0257
• CISA — KEV Catalog Update