Unit 42 של Palo Alto Networks מדווחת שקבוצות כופר, ובהן Qilin ו-INC, מנצלות את CVE-2026-0257 ב-PAN-OS וב-Prisma Access. הפגם תוקן במאי 2026, כך שארגונים שלא עדכנו עדיין חשופים.
הפרטים
הפגיעות היא עקיפת אימות בציון CVSS 7.8 (חומרה גבוהה), והיא נכללת בקטלוג ה-KEV של CISA מאז 13 במאי 2026. לפי Unit 42, התוקפים עוקפים את בקרות ה-MFA ומקימים חיבור VPN, ואז מבצעים סיור פנימי בעזרת כלי RMM, תנועה לרוחב דרך RDP ו-SMB, ואיסוף אישורים. ReliaQuest ו-Arctic Wolf דיווחו בנפרד על ניצול דומה על ידי Qilin.
במקרה אחד תועד מעבר משער ה-VPN ל-vCenter, השבתת בקרות אבטחה ב-ESXi ושליפת אישורים מדיסק וירטואלי (VMDK) של בקר דומיין, דבר שעוקף EDR שרץ בתוך המכונה. עוד תועד שימוש ב-CVE-2023-27532 נגד תשתיות גיבוי של Veeam.
נקודות לשים לב
- ודא שהתקני PAN-OS ו-Prisma Access מעודכנים לגרסאות המתוקנות לפי ה-advisory של Palo Alto. מספרי הגרסאות לא הופיעו בכתבה, ולכן בדוק מול ה-advisory.
- חפש חיבורי VPN מוצלחים בשער שאינם תואמים משתמשים מוכרים. אם יש כאלה, הפעל תהליך תגובה לאירוע.
- בדוק אם הותקנו כלי RMM שלא אושרו, ופעילות RDP/SMB חריגה אחרי התחברות VPN.
- הקשח את vCenter ו-ESXi ובדוק את תשתית הגיבוי, כולל עדכון Veeam. הגישה לדיסקים וירטואליים עוקפת הגנות בתוך המכונה.
מקורות: Unit 42 · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
