Face à CVE-2026-0257, Palo Alto Networks publie des correctifs et deux mesures d’atténuation. Mais sécuriser l’accès VPN ne règle pas la question d’une intrusion antérieure : Rapid7 rapporte des exploitations dès mai 2026, et Arctic Wolf documente des intrusions de juin ayant abouti au rançongiciel Qilin.
L’exposition dépend d’abord de la configuration. CVE-2026-0257 ne touche pas automatiquement tous les pare-feu Palo Alto Networks : elle concerne certaines configurations utilisant les cookies d’Authentication Override et leurs certificats. Ces cookies interviennent dans l’authentification ; dans une configuration vulnérable, un attaquant peut fabriquer un cookie accepté et établir une connexion VPN sans passer par l’authentification normale.
Pour déterminer la réponse adaptée, il faut donc examiner à la fois les réglages des accès GlobalProtect, leur version logicielle et l’historique des connexions. Ces vérifications permettent de distinguer une configuration exposée d’un accès effectivement utilisé par un attaquant.
Vérifier les portails, les passerelles et leurs certificats
L’avis de Palo Alto Networks répertorie des versions concernées dans les branches PAN-OS 10.2, 11.1, 11.2 et 12.1, ainsi que Prisma Access 10.2 et 11.2. Il indique que Panorama et Cloud NGFW ne sont pas concernés. Ce périmètre doit être précisé par l’examen de la version exacte et des réglages de chaque équipement.
Pour chaque portail et chaque passerelle GlobalProtect, la vérification porte sur la génération ou l’acceptation des cookies d’Authentication Override, puis sur le certificat utilisé. Rapid7 explique que réutiliser le certificat des cookies pour un service HTTPS peut rendre sa clé publique accessible et permettre la fabrication d’un cookie accepté par une configuration vulnérable. Le mécanisme décrit donne accès au VPN par contournement de l’authentification ; il ne démontre pas une exécution de code sur le pare-feu.
La version installée doit ensuite être confrontée au tableau officiel des versions concernées et corrigées. Les seuils varient selon les branches et les sous-versions : connaître seulement le numéro de branche ne permet pas de conclure que l’équipement est corrigé.
Coordonner la correction ou appliquer une atténuation officielle
Palo Alto Networks recommande d’installer une version corrigée. Dans les environnements utilisant les cookies d’Authentication Override, le constructeur précise que tous les portails et passerelles qui les génèrent ou les acceptent doivent être mis à niveau de façon coordonnée. Après cette opération, les utilisateurs doivent s’authentifier de nouveau une fois.
Le constructeur documente également deux mesures d’atténuation :
- désactiver les cookies d’Authentication Override ;
- utiliser pour ces cookies un certificat neuf et exclusivement réservé à cet usage.
La seconde option exige donc davantage que la sélection d’un autre certificat déjà partagé avec un service HTTPS : le caractère neuf et dédié du certificat fait partie de la mesure publiée.
L’avis décrit aussi un réglage temporaire de compatibilité pour une mise à niveau progressive. Ce réglage rétablit un ancien comportement des cookies. Il accompagne une migration et ne doit pas être repris isolément comme une protection permanente.
Rechercher les connexions réussies suspectes
L’examen des journaux vise à déterminer si la vulnérabilité a déjà été exploitée. Unit 42, l’équipe de recherche de Palo Alto Networks, recommande de rechercher dans les journaux GlobalProtect les connexions réussies correspondant aux adresses, identifiants d’hôte et noms d’appareil publiés dans ses indicateurs, ainsi que les événements « gateway-connected » suspects.
Lorsqu’une connexion réussie correspond à ces indicateurs, Unit 42 recommande d’engager une réponse à incident. L’investigation doit alors porter sur les conséquences possibles de l’accès obtenu, au-delà de la configuration du portail VPN.
Ces indicateurs servent au triage, c’est-à-dire à repérer les événements qui demandent une investigation. Leur liste n’étant pas exhaustive, l’absence de correspondance ne permet pas de déclarer le réseau sain. De même, l’installation du correctif ne démontre pas l’éradication d’une intrusion antérieure.
De l’accès VPN au rançongiciel dans les cas étudiés
Les observations publiées illustrent les conséquences possibles de cet accès. Rapid7 rapporte des exploitations réussies chez plusieurs clients, avec une première activité observée le 17 mai 2026. Dans ses observations de mai, l’entreprise ne décrivait toutefois pas de déplacement latéral réussi, c’est-à-dire de progression vers d’autres systèmes du réseau. Ce constat reste limité au périmètre et à la période observés par Rapid7.
Arctic Wolf a, de son côté, documenté plusieurs intrusions distinctes de juin ayant abouti au déploiement de Qilin. Ses enquêtes décrivent une collecte d’identifiants, des déplacements latéraux, un effacement de journaux et un chiffrement, ainsi qu’une exfiltration de données dans certains cas. Ces résultats concernent les incidents étudiés par Arctic Wolf ; ils ne décrivent pas l’issue de toute exploitation de la faille.
À partir de ces enquêtes, Arctic Wolf propose de surveiller les activités observées après l’accès VPN. Ces recommandations complémentaires lui sont propres. Parmi les recommandations directement publiées par Palo Alto Networks figurent la correction ou l’atténuation de la configuration vulnérable, la recherche des connexions suspectes et la réponse à incident lorsqu’une connexion réussie correspond aux indicateurs de Unit 42. Cette sélection ne constitue pas un inventaire exhaustif des consignes officielles.
Les sources publiques consultées ne permettent pas d’établir le nombre total d’organisations compromises. Pour une organisation qui examine ses propres accès, la décision dépend de ses constats : si une connexion suspecte est identifiée, la mise à jour de GlobalProtect laisse ouverte l’investigation des actions réalisées dans le réseau.