Grupos de ransomware estão usando a falha CVE-2026-0257, no GlobalProtect do PAN-OS, como porta de entrada em redes corporativas. A conclusão está na atualização publicada pela Unit 42, equipe de inteligência da Palo Alto Networks, em 19 e 20 de outubro de 2026, que também trouxe orientações de verificação e remediação.
Por que uma falha de maio voltou ao topo da fila
Para quem tem pressa: descubra a versão do PAN-OS, aplique o hotfix da sua linha e, se não puder atualizar já, desative o Authentication Override. Depois, procure nos logs do GlobalProtect conexões bem-sucedidas ligadas aos indicadores da Unit 42.
A vulnerabilidade foi divulgada em 13 de maio de 2026, entrou no catálogo de falhas exploradas da agência americana CISA no mesmo dia e ganhou prova de conceito pública em 29 de maio. É um desvio de autenticação nos componentes de portal e gateway do GlobalProtect que permite abrir sessões VPN sem credencial válida.
O que mudou agora foi o perfil de quem explora. Segundo o relatório da Unit 42 sobre a exploração da CVE-2026-0257, operadores ligados aos grupos Qilin e Inc usam a brecha, e há relatos públicos envolvendo um terceiro grupo. Firewalls que ficaram sem correção desde maio viraram alvo de quem busca extorsão.
Versões do PAN-OS que já trazem a correção
Cada ramo do sistema tem um hotfix próprio, então não é preciso saltar de versão principal. A lista abaixo vem do boletim oficial da Palo Alto Networks, que classifica a falha com nota 7,8 no CVSS 4.0 e urgência máxima.
| Produto | Versões com correção |
|---|---|
| PAN-OS 12.1 | 12.1.4-h6 ou 12.1.7 e posteriores |
| PAN-OS 11.2 | 11.2.4-h17, 11.2.7-h14, 11.2.10-h7 ou 11.2.12 e posteriores |
| PAN-OS 11.1 | 11.1.4-h33, 11.1.6-h32, 11.1.7-h6, 11.1.10-h25, 11.1.13-h5 ou 11.1.15 e posteriores |
| PAN-OS 10.2 | 10.2.7-h34, 10.2.10-h36, 10.2.13-h21, 10.2.16-h7 ou 10.2.18-h6 e posteriores |
| Prisma Access 11.2 | 11.2.7-h13 e posteriores |
| Prisma Access 10.2 | 10.2.10-h36 e posteriores |
Cinco passos para checar e fechar a brecha no GlobalProtect
Antes de começar, exporte um backup da configuração para fora do aparelho, avise os usuários de VPN sobre a janela de manutenção e garanta acesso aos logs do GlobalProtect dos últimos meses, não só dos últimos dias.
- Identifique a versão de cada equipamento, inclusive os de filiais, e compare com a tabela.
- Aplique o hotfix da sua linha começando pelos firewalls com o portal do GlobalProtect exposto à internet.
- Sem atualização imediata, use a mitigação. Desative a geração e a aceitação de cookies de Authentication Override no portal e no gateway, ou use um certificado exclusivo para esses cookies, sem compartilhá-lo com outros recursos.
- Feche a gerência para fora. Verifique se as portas 4443 e 3879 do IP de gerenciamento respondem pela internet e restrinja o acesso com perfis de Interface Management.
- Cace sinais de invasão. Busque nos logs conexões bem-sucedidas vindas dos IPs, nomes de host e endereços MAC listados pela Unit 42 e valores de configuração usados na prova de conceito.
Onde a correção costuma travar
Os usuários de VPN vão precisar entrar de novo?
Sim, uma única vez. O boletim avisa que, depois da atualização, quem usa o GlobalProtect precisa se autenticar novamente. Avise a equipe antes, para o suporte não ser inundado de chamados.
Cloud NGFW e Panorama também precisam de patch?
Não. Segundo a Palo Alto Networks, o Cloud NGFW e o Panorama não são afetados. O Prisma Access é, nas versões da tabela.
Sinais de que o invasor já passou do firewall
A Unit 42 descreve um roteiro repetido depois do acesso inicial: contorno do MFA, reconhecimento com ferramentas de acesso remoto (RMM), movimentação lateral por RDP e SMB e preparo de ferramentas para roubar credenciais e exfiltrar dados. Em um dos casos, os atacantes chegaram ao vCenter, desligaram controles em hosts ESXi e extraíram credenciais do disco virtual de um controlador de domínio. Também houve encadeamento com uma falha antiga do Veeam, a CVE-2023-27532.
Por isso, achar uma conexão suspeita não é hora de só aplicar o patch e seguir em frente. É hora de acionar o plano de resposta a incidentes e conferir se os backups estão isolados, ponto tratado em Estratégias de backup em nuvem para MSPs e prestadores de TI.
Perguntas que a Unit 42 ainda não respondeu
O relatório não identifica o ator que fez as primeiras sondagens em massa, não diz quantas organizações foram comprometidas e trata a participação de um terceiro grupo apenas como relato público. Também não há números sobre vítimas no Brasil. A expectativa é que novos indicadores sejam acrescentados à página conforme as investigações avançam, o que torna recomendável repetir a busca nos logs nas próximas semanas, mesmo depois do patch.
