Une faille de contournement d’authentification dans le VPN GlobalProtect de Palo Alto Networks, corrigée depuis mai 2026, sert toujours de porte d’entrée à plusieurs groupes de rançongiciels. Le 19 octobre, Unit 42, l’équipe de renseignement de l’éditeur, a mis à jour son bulletin pour décrire des intrusions menées depuis début juin. Pour les entreprises, la leçon est inconfortable : avoir appliqué le correctif ne suffit pas à prouver que l’on n’a pas été visité.
Une faille de VPN qui court-circuite l’authentification forte
La vulnérabilité, référencée CVE-2026-0257, touche les portails et passerelles GlobalProtect des pare-feu PAN-OS, physiques comme virtuels, ainsi que le service Prisma Access. Selon Help Net Security, elle tient à une confiance accordée à des cookies sans contrôle d’intégrité suffisant. Concrètement, un attaquant distant, sans identifiant, peut ouvrir une session VPN comme s’il était un salarié légitime, y compris lorsque l’entreprise a activé la double authentification.
C’est ce point qui rend la faille si précieuse pour les criminels. Le VPN est la frontière que beaucoup d’organisations considèrent comme sûre dès lors qu’elle exige un second facteur. Ici, ce second facteur n’est tout simplement pas sollicité.
Une gravité d’abord sous-estimée
La chronologie, reconstituée par The Register et Help Net Security, montre un décalage entre l’alerte initiale et la réalité du terrain. Palo Alto a publié l’avis et le correctif le 13 mai, en classant la faille en gravité moyenne et en indiquant ne pas avoir observé d’exploitation malveillante. Quelques jours plus tard, l’éditeur Rapid7 relevait pourtant des exploitations réussies chez des clients, dès le 17 mai selon The Register, suivies d’une seconde vague atteignant des réseaux internes. Le 29 mai, Palo Alto a actualisé son avis pour mentionner des tentatives limitées. Le bulletin d’Unit 42 la décrit désormais en gravité élevée.
Ce glissement explique en partie pourquoi des équipements sont restés exposés : une faille notée « moyenne » passe rarement en tête des priorités de mise à jour d’un service informatique débordé.
Qilin, Inc et Settra : qui exploite la faille et comment
D’après Unit 42, cité par Help Net Security, les opérateurs des rançongiciels Qilin et Inc figurent parmi les utilisateurs de cette porte d’entrée ; la société ReliaQuest y associe aussi le groupe Settra. Le scénario décrit par The Register est classique dans sa seconde moitié : session VPN obtenue sans authentification, déplacement latéral via les protocoles RDP et SMB, vol d’identifiants, exfiltration de données puis chiffrement.
Un cas retient l’attention. Unit 42 décrit un attaquant passé de la passerelle VPN à la console vCenter de l’entreprise, qui a désactivé les protections des hyperviseurs ESXi puis extrait hors ligne les identifiants du domaine depuis le disque virtuel d’un contrôleur de domaine. Selon The Register, opérer sous les machines virtuelles permet de contourner les outils de détection (EDR) installés à l’intérieur. Les chercheurs ont aussi vu la faille enchaînée avec CVE-2023-27532, une vulnérabilité ancienne des logiciels de sauvegarde Veeam, ce qui vise directement la capacité de restauration des victimes.
Les secteurs touchés sont larges : santé, éducation, administrations, énergie, finance ou industrie, selon les deux médias. Palo Alto n’a pas répondu aux questions de The Register sur le nombre d’organisations infectées.
Ce que les entreprises doivent vérifier maintenant
La recommandation la plus importante vient de ReliaQuest, rapportée par Help Net Security : le correctif seul peut ne pas supprimer un accès obtenu avant son installation. Les mesures citées par les deux médias sont donc à prendre ensemble :
- mettre à jour PAN-OS et Prisma Access si ce n’est pas déjà fait ;
- désactiver les cookies de contournement d’authentification lorsqu’ils ne servent pas ;
- fermer toutes les sessions GlobalProtect actives après la mise à jour ;
- rechercher des connexions inattendues, par exemple depuis un poste nommé « kali », et exploiter les indicateurs de compromission publiés par Unit 42.
ReliaQuest estime que l’exploitation devrait se poursuivre au cours des trois prochains mois. Pour les PME, souvent dépendantes d’un prestataire pour leur pare-feu, la question à poser est simple : la mise à jour a-t-elle été faite en mai, et quelqu’un a-t-il vérifié les journaux de connexion depuis ?
Questions fréquentes
Mon entreprise a installé le correctif en mai, suis-je protégé ?
Contre une nouvelle exploitation, oui. Mais un attaquant entré avant la mise à jour peut avoir conservé des accès ou des identifiants volés : une revue des journaux VPN et des comptes reste nécessaire.
La double authentification bloque-t-elle cette attaque ?
Non. La faille permet d’ouvrir une session VPN sans passer par l’étape d’authentification, second facteur compris, selon Unit 42.
Quels produits sont concernés ?
Les portails et passerelles GlobalProtect des pare-feu PAN-OS physiques et virtuels, ainsi que Prisma Access. Help Net Security recommande aussi de désactiver les cookies de contournement d’authentification lorsqu’ils ne servent pas.
Sources
- Ransomware gangs have been exploiting Palo Alto GlobalProtect VPN flaw since June — Help Net Security, 2026-10-21
- Palo Alto's firewall OS has been under attack from multiple ransomware groups since June — The Register, 2026-10-20