Cảnh báo lỗ hổng CVE-2026-0257: Ransomware tấn công qua Palo Alto GlobalProtect

• Mối đe dọa: Các nhóm ransomware như Qilin và Settra đang tích cực khai thác lỗ hổng xác thực trên các thiết bị Palo Alto Networks.
• Cơ chế lỗi: Lỗ hổng CVE-2026-0257 cho phép kẻ tấn công vượt qua xác thực và thiết lập phiên VPN trái phép mà không cần thông tin đăng nhập hợp lệ.
• Phạm vi ảnh hưởng: Các phiên bản PAN-OS 12.1, 11.2, 11.1, 10.2 và Prisma Access 11.2, 10.2.
• Khuyến nghị: Cập nhật bản vá ngay lập tức, vô hiệu hóa 'authentication override cookies' không cần thiết và thực hiện rà soát các phiên kết nối bất thường.

Các nhà nghiên cứu bảo mật vừa đưa ra cảnh báo khẩn cấp về việc khai thác lỗ hổng CVE-2026-0257, một lỗi vượt qua xác thực (authentication bypass) nghiêm trọng ảnh hưởng đến các giải pháp Palo Alto Networks PAN-OS GlobalProtect và Prisma Access. Theo các báo cáo phân tích, nhiều nhóm tội phạm mạng, bao gồm cả các tổ chức ransomware khét tiếng như Qilin và Settra, đang tận dụng lỗ hổng này để thiết lập các phiên VPN trái phép, từ đó xâm nhập sâu vào mạng nội bộ của doanh nghiệp thông qua các dịch vụ truy cập từ xa vốn được coi là tin cậy.

Phân tích kỹ thuật lỗ hổng CVE-2026-0257

Lỗ hổng này được Palo Alto Networks công bố vào ngày 13 tháng 5 năm 2026, với điểm số CVSS 7.8, xếp hạng mức độ nghiêm trọng High. Về bản chất, lỗi này cho phép kẻ tấn công không có thông tin xác thực hợp lệ có thể vượt qua các rào cản bảo mật để thiết lập kết nối VPN. Điều này tạo ra một thách thức lớn cho các đội ngũ SOC (Security Operations Center) vì lưu lượng truy cập của kẻ tấn công trông giống hệt như hoạt động làm việc từ xa thông thường của nhân viên.

Sự thành công của việc khai thác phụ thuộc vào cấu hình của hệ thống. Cụ thể, lỗ hổng chỉ xảy ra khi cổng (portal) hoặc cổng kết nối (gateway) của GlobalProtect được kích hoạt tính năng authentication override cookies kết hợp với một cấu hình chứng chỉ (certificate) cụ thể. Các cookie này được thiết kế để hỗ trợ xác thực giữa các thành phần của GlobalProtect, tuy nhiên, lỗ hổng phát sinh do hệ thống tin tưởng vào các cookie này mà thiếu đi các bước kiểm tra tính toàn vẹn và xác thực hợp lệ.

Danh sách các thành phần bị ảnh hưởng

Chuỗi tấn công và kỹ thuật của kẻ thù

Sau khi thiết lập được quyền truy cập VPN trái phép, các nhóm tấn công không dừng lại ở việc xâm nhập. Các báo cáo từ các nhà nghiên cứu cho thấy kẻ tấn công thường sử dụng các công cụ như Cobalt Strike, BloodHound và SharpHound để thực hiện các bước tiếp theo trong chuỗi tấn công (Kill Chain). Mục tiêu của chúng bao gồm đánh cắp thông tin đăng nhập, di chuyển ngang (lateral movement) giữa các hệ thống, thu thập dữ liệu nhạy cảm và chuẩn bị cơ sở hạ tầng trước khi triển khai mã độc ransomware.

⚠️ Cảnh báo quan trọng: Việc phát hiện một kết nối VPN thành công không còn là bằng chứng xác thực người dùng là hợp lệ. Các đội ngũ phòng thủ cần điều tra kỹ lưỡng các hoạt động diễn ra sau khi kết nối được thiết lập, đặc biệt là các hành vi truy cập bất thường hoặc sử dụng các hostname đáng ngờ như 'kali'.

Hướng dẫn phòng thủ và Hardening hệ thống

Để giảm thiểu rủi ro từ CVE-2026-0257, các quản trị viên hệ thống cần thực hiện ngay các bước sau đây theo khuyến nghị từ nhà cung cấp:

• Cập nhật phần mềm: Nâng cấp lên phiên bản đã vá lỗi theo bảng hướng dẫn của Palo Alto Networks. Lưu ý kiểm tra chính xác phiên bản bảo trì (maintenance release) thay vì chỉ dựa vào số phiên bản chính.
• Cấu hình lại Authentication Override: Vô hiệu hóa tính năng authentication override cookies nếu không thực sự cần thiết.
• Quản lý chứng chỉ: Tạo mới một chứng chỉ dành riêng cho authentication override cookies. Tuyệt đối không sử dụng lại chứng chỉ của cổng (portal) hoặc cổng kết nối (gateway), cũng như không sử dụng chứng chỉ đã dùng cho các dịch vụ khác.
• Xử lý phiên kết nối: Sau khi áp dụng bản vá, cần ngắt toàn bộ các phiên GlobalProtect đang hoạt động để loại bỏ các quyền truy cập đã được thiết lập trước đó.

Việc thực hiện vá lỗi không đầy đủ trên tất cả các cổng nội bộ và bên ngoài có thể dẫn đến các vấn đề tương thích cookie giữa các thành phần. Do đó, quy trình cập nhật phải được thực hiện đồng bộ trên toàn bộ hạ tầng, bao gồm cả các môi trường Prisma Access lai. Để biết thêm chi tiết về các bản vá, quản trị viên có thể tham khảo thêm tại Cơ sở dữ liệu lỗ hổng quốc gia (NVD) hoặc trang tư vấn bảo mật chính thức của Palo Alto Networks.