Een kwetsbaarheid in de firewalls van Palo Alto Networks wordt misbruikt bij ransomware-aanvallen. Dat laat cybersecuritybedrijf Arctic Wolf in een analyse weten. Via de kwetsbaarheid kan een aanvaller de authenticatie omzeilen en een niet-toegestane vpn-verbinding opzetten. Op 13 mei verschenen er beveiligingsupdates voor de kwetsbaarheid, aangeduid als CVE-2026-0257. Het lek is aanwezig in PAN-OS, het besturingssysteem dat op de firewalls van Palo Alto Networks draait.
Volgens securitybedrijf Rapid7 maken aanvallers sinds 17 mei misbruik van het probleem. De aanval is alleen mogelijk bij een specifieke configuratie. Zo moet de 'authentication override feature' in de GlobalProtect portal of gateway staan ingeschakeld en moet het certificaat voor het versleutelen en ontsleutelen van de 'authentication override cookie' worden hergebruikt. Bij de aanval weet een aanvaller een cookie te bemachtigen voor het opzetten van een vpn-verbinding. Het misbruik werd ook door Palo Alto Networks bevestigd.
Arctic Wolf meldt dat het vorige maand verschillende aanvallen onderzocht waarbij gehackte firewalls van Palo Alto Networks waren gebruikt als springplank voor ransomware-aanvallen. Vanaf de gehackte firewalls wordt het achterliggende netwerk aangevallen. De aanvallers weten hierbij allerlei credentials te stelen en zich via Windows administrative shares lateraal door het netwerk te bewegen, aldus Arctic Wolf. Zodra de aanvallers vergaande toegang tot het netwerk hebben stelen ze eerst allerlei gegevens, waarbij gebruik wordt gemaakt van tools zoals Rclone, ProtonDrive en FileZilla. Volgens de onderzoekers worden gegevens vooral naar de cloudopslag van MEGA gestuurd.
Als laatste onderdeel van de aanval wordt de Qilin-ransomware uitgerold. De makers van deze ransomware hanteren een 'ransomware-as-a-service' (RaaS) model. Via RaaS kunnen criminelen op eenvoudige wijze over ransomware beschikken, waarbij er een deel van de inkomsten naar de ontwikkelaars van de ransomware gaat. Criminelen moeten in dit geval de ransomware nog wel zelf verspreiden.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Senior IAM specialist
Utrecht heeft jou nodig! Wil jij een sleutelrol spelen in de digitale dienstverlening van de gemeente Utrecht? Als Specialist Identity and Access Management (IAM) zorg je voor gecontroleerd toegangsbeheer van applicaties én werk je actief aan verbeteringen voor een optimale gegevensbescherming van onze inwoners en bedrijven. Solliciteer nu!
