PAN-OS高危漏洞仍遭Qilin与INC Ransom利用

尽管 Palo Alto Networks 已发布安全补丁，其设备中的一处漏洞仍持续被勒索软件团伙利用。Palo Alto Networks 威胁情报团队 Unit 42 于 10 月 19 日在其网站表示，Qilin 和 INC Ransom 正在利用该公司防火墙操作系统 PAN-OS 中的漏洞。

漏洞与补丁

该漏洞编号为 CVE-2026-0257，可让攻击者绕过 PAN-OS 中包含的远程访问虚拟专用网络（VPN）GlobalProtect 的身份验证。未经授权者利用该漏洞可在无身份验证的情况下建立 VPN 连接，这相当于从正门进入大楼，却在安检处不出示身份证明或密码。Palo Alto Networks 在 5 月发现该漏洞后发布了补丁。

美国网络安全和基础设施安全局（CISA）于 5 月 29 日将该漏洞列入“已知被利用漏洞”（KEV）目录，表明该漏洞也已被用于勒索软件攻击。该漏洞的通用漏洞评分系统（CVSS）严重性评分为 10 分制中的 7.8 分。7 分及以上通常被归类为高严重性，9 分及以上被视为严重。Palo Alto Networks 最初将该漏洞评为 4.7 分，即中等严重性，随后上调至 7.8 分。

攻击链与目标

Qilin 及其他攻击者利用该漏洞渗透企业网络，绕过多因素认证（MFA）并建立 VPN 连接。随后，他们使用远程监控与管理（RMM）工具探查内部网络，并通过远程桌面协议（RDP）和服务器消息块（SMB）文件共享连接进行横向移动。他们还部署了用于收集凭据、窃取数据和分发勒索软件的工具。攻击目标覆盖教育、金融、医疗、制造和政府机构。

Unit 42 将直接进入虚拟化层列为攻击者成功利用 CVE-2026-0257 后行为中最显著的变化。

虚拟化使一台物理服务器可作为多台虚拟服务器运行，类似将一栋建筑划分为多个办公室。虚拟化层相当于建筑的管理办公室，负责创建和管理这些独立空间。攻击者不是分别闯入每个办公室，而是实际取得了管理办公室的控制权。

在一起案例中，攻击者通过 VPN 连接进入并转向 vCenter（虚拟服务器管理系统）。vCenter 是 ESXi 的中央管理平台，而 ESXi 是用于创建和运行虚拟服务器的软件。攻击者禁用了旨在阻止未经授权程序运行的安全设置，并访问了属于域控制器的虚拟磁盘文件。这些文件包含员工账户信息。尽管服务器上安装了端点检测与响应（EDR）解决方案，攻击者仍成功绕过。

Palo Alto Networks 还在 10 月 14 日发布紧急补丁，此前黑客利用了客户防火墙设备操作系统中的零日漏洞 CVE-2026-0322。

勒索团伙动态

Qilin 和 INC Ransom 是网络安全公司 Group-IB 确定的 2026 年值得关注的八个勒索软件团伙中的两个。Group-IB 负责调查并协助预防数字犯罪。

Qilin 在 2025 年记录了 1,062 次攻击，在 2026 年第一季度记录了 389 次攻击，在八个团伙中攻击量最高。其主要战术是双重勒索，即先窃取数据再加密。INC Ransom 在 66 个国家和 190 多个行业开展活动，2025 年记录了 360 次攻击，2026 年第一季度记录了 144 次攻击。该团伙还以针对执法机构、恢复公司和财产及意外伤害保险公司施加心理压力而闻名。