Palo Alto VPN漏洞遭勒索软件团伙利用,GlobalProtect MFA 绕过后直取VMware VMDK凭证

Palo Alto Networks的GlobalProtect VPN组件正面临持续的针对性利用。漏洞编号为CVE-2026-0257，属于认证绕过缺陷，CVSS 评分为 7.8（High）。Unit 42 在2026年10月19日的更新中确认，勒索软件运营者Spikey Scorpius（即 Qilin）和Tarnished Scorpius（即 INC）正在利用该漏洞绕过MFA，建立未授权VPN会话并进入企业网络；另有公开报告将Settra勒索软件的运营者也与利用活动关联起来。

漏洞根源：证书复用导致cookie伪造

漏洞的触发需要特定配置：GlobalProtect 门户或网关启用了认证覆盖 cookie（authentication override cookies），并且用于 cookie 签名/加密的证书与 HTTPS 服务证书相同。Rapid7 的分析指出，PAN-OS 会解密传入的 cookie，但解密后不进行签名验证，直接信任其内容。当证书被复用在与公网暴露的 HTTPS 服务上时，攻击者可以从该服务的 TLS 握手中获取公钥，进而伪造任意用户（包括本地管理员账户）的认证覆盖 cookie。网关将该 cookie 视为合法认证凭据，VPN 会话在 MFA 强制之前即被建立，从而实现 MFA 绕过。Palo Alto Networks 最初将该漏洞评为中等严重性，后于 2026 年 5 月 29 日将 CVSS 评分从 4.7 上调至 7.8，并要求以最高紧迫性进行修复。

攻击链与战术升级

Unit 42 调查显示，攻击者在获得 VPN 访问后，使用远程监控与管理（RMM）工具进行内部网络侦察，通过 RDP 和 SMB 横向移动，并为凭证窃取、数据外传和勒索软件部署做准备。受影响行业覆盖教育、金融服务、医疗保健、制造、政府、能源等多个领域。

最值得关注的是攻击者向虚拟化层的直接跃迁。在一起已调查案例中，攻击者从被攻陷的 VPN 网关移动至 VMware vCenter 管理设备，在 ESXi 主机上禁用安全控制 execInstalledOnly，并使用定制工具对域控制器的 VMDK 虚拟磁盘执行离线凭证转储。这种方式从操作系统之下的虚拟化层读取凭证，完全绕过了虚拟机内部的 EDR 和终端安全工具，使攻击者能够在静默状态下获取全域凭证。

此外，Unit 42 还观察到攻击者将 CVE-2026-0257 的初始访问与针对 Veeam 备份基础设施的 CVE-2023-27532（CVSS 7.5）结合使用。该 Veeam 漏洞可能暴露备份配置数据库中存储的加密凭据，进一步扩大攻击面对备份主机的访问权限。

检测指标与修复建议

Rapid7 在利用活动中记录的 Indicators of Compromise 包括：攻击源 IP 104.207.144[.]154、146.19.216[.]125，客户端主机名 GP-CLIENT 与 DESKTOP-GP01，以及被复用的 MAC 地址 aa:bb:cc:dd:ee:ff 和 00:11:22:33:44:55。由于部分探测尝试接受了伪造 cookie 但未建立完整 VPN 会话，防守方应重点排查 GlobalProtect 日志中来自异常来源的“gateway-connected”成功事件，而非仅关注完整隧道建立记录。

修复的优先措施是将所有受影响的 GlobalProtect 门户和网关升级至 Palo Alto Networks 公告中提供的修复版本。临时缓解方案包括：禁用认证覆盖功能，或为 cookie 覆盖功能生成并部署一张与 HTTPS 服务证书完全隔离的专用证书。鉴于该漏洞已进入 CISA KEV 且 EPSS 评分高达 97%，任何暴露在互联网上的未修复 GlobalProtect 实例都应被视为极可能被尝试利用的目标，修复窗口应以小时而非天为单位计算。

信息来源：

• Palo Alto Networks Unit 42

• Rapid7

• The Hacker News

• SecurityAffairs

• CISA KEV