Cảnh báo lỗ hổng CVE-2026-0257 trên Palo Alto GlobalProtect bị lợi dụng phát tán ransomware

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo khẩn cấp về tình trạng khai thác lỗ hổng bảo mật mang mã CVE-2026-0257, một lỗi vượt qua xác thực nghiêm trọng tác động trực tiếp đến các giải pháp Palo Alto Networks PAN-OS GlobalProtect cùng với Prisma Access.

Chi tiết về lỗ hổng CVE-2026-0257

Theo các phân tích từ chuyên gia, nhiều nhóm tội phạm mạng khét tiếng chuyên phát tán ransomware như Qilin và Settra đang tích cực tận dụng lỗ hổng này. Mục đích của chúng là thiết lập các phiên VPN trái phép, từ đó thâm nhập sâu vào hệ thống mạng nội bộ thông qua các cổng truy cập từ xa vốn được doanh nghiệp tin cậy.

Lỗ hổng này chính thức được Palo Alto Networks công bố vào giữa tháng 5 năm 2026, nhận mức điểm CVSS 7.8 và được xếp vào nhóm mức độ nghiêm trọng cao (High). Về cơ bản, lỗi tạo kẽ hở cho phép những kẻ tấn công hoàn toàn không có thông tin xác thực hợp lệ vẫn có thể qua mặt các lớp phòng thủ để lập kết nối VPN. Tình trạng này gây ra áp lực không nhỏ cho các đội ngũ vận hành trung tâm an ninh mạng SOC, bởi lưu lượng truy cập độc hại lại có hình thức hoàn toàn tương tự như hoạt động truy cập làm việc từ xa của nhân viên bình thường.

Cơ chế khai thác và hành vi của hacker

Mức độ thành công của các cuộc tấn công phụ thuộc vào cách thức cấu hình hệ thống tại mỗi doanh nghiệp. Lỗ hổng chỉ phát sinh khi cổng kết nối hoặc cổng thông tin của GlobalProtect kích hoạt tính năng cookie ghi đè xác thực đi kèm một cấu hình chứng chỉ cụ thể. Những cookie này vốn đóng vai trò hỗ trợ xác thực nội bộ, nhưng do hệ thống thiếu các bước kiểm tra tính toàn vẹn chặt chẽ nên đã dẫn đến sơ hở.

Ngay khi chiếm được quyền truy cập VPN trái phép, các nhóm tội phạm tiếp tục triển khai hàng loạt công cụ chuyên dụng như Cobalt Strike, BloodHound và SharpHound nhằm mở rộng chuỗi tấn công. Mục tiêu cốt lõi của chúng bao gồm đánh cắp thông tin tài khoản, di chuyển ngang qua các máy chủ trong hệ thống, thu thập dữ liệu mật và xây dựng hạ tầng kỹ thuật nhằm chuẩn bị cho bước phát tán mã độc tống tiền ransomware.

Biện pháp khắc phục và khuyến nghị

Để hạn chế tối đa các rủi ro tiềm ẩn từ lỗ hổng CVE-2026-0257, quản trị viên hệ thống cần nhanh chóng áp dụng các biện pháp khắc phục do nhà phát triển cung cấp. Việc cập nhật bản vá phải được tiến hành đồng bộ trên mọi cổng kết nối cả trong lẫn ngoài nhằm tránh tình trạng xung đột cookie giữa các thành phần, bao gồm cả các mô hình triển khai trên nền tảng Prisma Access lai.